Am gestrigen Mittwoch wurde eine schwerwiegende Sicherheitslücke in der Programmiersprache PHP bekannt. Zahlreiche Websites waren davon betroffen, unter anderem Behörden in Deutschland reagierten, indem sie ihre Seiten vorübergehend offline nahmen.
Nun hat auch Marc Henrichmann (CDU), der Chef des Parlamentarischen Kontrollgremiums für die Geheimdienste, Alarm geschlagen. „Wir erleben einen Wendepunkt“, erklärte der Politiker beim „Handelsblatt“. Das liege vor allem an Künstlicher Intelligenz – auch wenn im Fall der PHP-Sicherheitslücke gerade diese Technologie dabei geholfen hat, das Risiko überhaupt zu entdecken. Woher genau rührt also die große Gefahr?
Die Programmiersprache PHP erklärt
PHP ist als Programmiersprache die Basis für viele Anwendungen im Internet. PHP stand dabei ursprünglich für „Personal Home Page Tools“, heute bedeutet es „PHP: Hypertext Preprocessor“. Zum grundsätzlichen Verständnis kann man die Skript- und Programmiersprache mit HTML oder JavaScript vergleichen.
Im Gegensatz zu diesen browserbasierten Anwendungen läuft PHP aber direkt auf dem Webserver, auf dem die jeweilige Seite gespeichert ist. Man ruft also eine Website auf, der Server greift daraufhin auf den PHP-Code zu und verarbeitet ihn, sodass er schließlich in normales HTML umgewandelt und vom Browser der Nutzerinnen und Nutzer aus ausgelesen und somit angezeigt werden kann.
Viele Websites, die wir tagtäglich nutzen, sind durch PHP aufgebaut; das können sowohl Online-Shops als auch Nachrichten- oder Behördenseiten sein. Unter anderem das Content-Management-System WordPress basiert auf der Programmiersprache – allein in diesem Kontext sind schätzungsweise bis zu 500 Millionen Websites weltweit von der Sicherheitslücke betroffen.
Weitere bekannte Anbieter, die darauf setzen, sind Typo3, Joomla!, Magento oder auch Moodle. Insgesamt geht man davon aus, dass etwa 70 Prozent aller Websites PHP-basiert sind. Das liegt wohl auch daran, dass die Programmiersprache frei verfügbar ist und als recht intuitiv gilt. Entsprechend groß ist die Masse der Betroffenen und auch das potenzielle Risiko.
BSI warnt vor Risiko durch Sicherheitslücke
Mithilfe von KI wurden zwei Schwachstellen entdeckt, die es Kriminellen theoretisch ermöglicht hätten, diverse Websites zu hacken und diese zu übernehmen. Auf diese Weise hätte unter anderem Schadsoftware eingeschleust oder auch Daten von Nutzerinnen und Nutzern abgegriffen werden können. Die offiziellen Kennungen lauten:
- CVE-2026-109618
- CVE-2026-109619
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) veröffentlichte eine offizielle Cybersicherheitswarnung (Aktenzeichen BITS-H Nr. 2026-297981-1032), in der das Risiko als außerordentlich hoch eingestuft wurde. Das bedeutet, dass eine massive Beeinträchtigung der normalen Abläufe droht.
Website-Betreiber müssen reagieren
PHP selbst hat inzwischen eine neue Version zur Verfügung gestellt, mit der die Schwachstellen geschlossen werden. Website-Betreibern wird dringend empfohlen, die neue Version schnellstmöglich zu installieren. Solange das nicht der Fall ist, bleibt nur die Möglichkeit, die mit PHP betriebenen Web-Server vom Netz zu trennen.
Vor allem offizielle Stellen haben das auch getan, weshalb seit Mittwochnachmittag zahlreiche Dienste nicht zu erreichen sind. Bei PHP-Versionen, die nicht mehr offiziell unterstützt werden, könnte das auch noch eine Weile so bleiben, da sie ansonsten ein nicht kalkulierbares Risiko darstellen würden.
Müssen normale Nutzer wegen der Sicherheitslücke handeln?
Für ganz normale Nutzerinnen und Nutzer, die täglich im Internet unterwegs sind, besteht kein direkter Handlungsbedarf. Die Sicherheitslücke muss allein vonseiten der Website-Betreiber geschlossen werden. Allerdings sind Verbraucherinnen und Verbraucher direkt von den Schwachstellen betroffen.
Zum einen stehen immer noch einige Dienste nicht zur Verfügung. Zum anderen besteht eine potenzielle Gefahr beim Nutzen von Websites, die die Sicherheitslücken noch nicht geschlossen haben. Viel tun kann man als Endkundin oder -kunde allerdings nicht, außer sich an die gängigen Sicherheitsregeln im Netz zu halten.
Künstliche Intelligenz als Gefahr und Helfer in einem
Die jüngsten Ereignisse um die PHP-Sicherheitslücke haben eine Diskussion noch weiter nach vorne gespült, die ohnehin seit Monaten aktuell wird. Durch KI hat das Thema Cybersicherheit nämlich eine neue Dimension bekommen, wie auch Henrichmann herausstellt. Eine solche Schwachstelle sei „ein Problem für die gesamte digitale Infrastruktur“.
KI spielt dabei eine entscheidende Rolle. Denn der Fall zeigt das Potenzial der Technologie in dem Sektor – immerhin hat Künstliche Intelligenz die Entdeckung der Sicherheitslücke, die offenbar schon lange bestand, erst ermöglicht. Auf der anderen Seite können natürlich auch Kriminelle KI nutzen, um potenzielle Sicherheitslücken zu finden und auszunutzen und das teilweise automatisiert.
„Unsere Sicherheitsbehörden brauchen die Werkzeuge, die Fachleute und die rechtlichen Befugnisse, um in diesem Wettlauf vorn zu bleiben“, fordert Henrichmann in diesem Zusammenhang. Der KI-Wettlauf ist längst auch in der Cybersicherheit angekommen.