Zwei PHP-Sicherheitslücken legen 20 Jahre Code offen und erzwingen Ausfälle

Zwei PHP-Sicherheitslücken legen zwanzig Jahre Code offen und erzwingen Ausfälle in Europa

Was passiert, wenn die Sprache, auf der halb das Internet basiert, an zwei Stellen gleichzeitig bricht? Am 21. Oktober zwangen zwei kritische PHP-Schwachstellen —Remote Code Execution ohne Authentifizierung oder Nutzerinteraktion— dazu, Systeme in Deutschland abzuschalten und weltweit den Notfallmodus zu aktivieren. Laut dem BSI, der deutschen Bundesbehörde für Cybersicherheit, sind alle Versionen seit PHP 5 potenziell betroffen: zwanzig Jahre Code im Produktivbetrieb. Zu den Geschädigten zählen die Bundespolizei, der Zoll, das Robert Koch-Institut, Krankenhäuser wie die Charité in Berlin, Feuerwehren, Universitäten und Landesverwaltungen. Am selben Tag schloss Node.js zehn Schwachstellen —vier davon kritisch—, Go tat es ihm gleich.

Wer die Lücken fand und wer vorher Bescheid wusste

Die Entdeckung stammte nicht von einem Menschen mit Koffein und Debugger. Es war GPT-5.6 Sol von OpenAI, so die kursierende Darstellung, die die Firma Wiz als den schwerwiegendsten Fund bezeichnet, der je mit dieser Technologie gelungen ist. Das Weiße Haus wusste seit Freitag, dem 16. Oktober, Bescheid; OpenAI koordinierte die Offenlegung mit CISA und dem Office of the National Cyber Director. Fünf Tage selektiven Schweigens, während drei Viertel des Internets weiter exponiert waren. Am Ende beschleunigte die Indiskretion das Chaos: Deshalb kommt der Ausfall jetzt und nicht nächste Woche.

Das eigentliche Problem: keine eigenen Modelle zu haben

Hier zeigt sich die wahre Lücke. Wer keine eigenen KI-Modelle besitzt, ist darauf angewiesen, dass andere ihm sagen, wenn seine Infrastruktur undicht wird. Die Warnung liegt seit Jahren auf dem Tisch: Europa kann es sich nicht leisten, Kunde der KI zu sein, die seine eigenen Systeme prüft. Diesmal ging es gut aus. Beim nächsten Mal, mit den kompromittierten Zertifikaten einer indischen Behörde —Schlüssel, die eigentlich 116-stellige Zahlen sein sollten, einer hatte vier—, vielleicht nicht.

Ist das alles so schlimm? Der Patch existiert und ist ein Befehl

Manche behaupten, PHP zu aktualisieren sei eine Sache von einem Befehl und der Alarmismus übertrieben. Theoretisch stimmt das. In der Praxis laufen Krankenhäuser, Feuerwehren und ganze Verwaltungen auf Software-Stacks, die niemand in einem Jahrzehnt angefasst hat. Das FBI empfahl, Server abzuschalten. Das ist keine kosmetische Maßnahme. In der Lücke zwischen verfügbarem und installiertem Patch wohnt die Katastrophe.

Kritische Infrastruktur und die DVD als Plan B

Das Gespräch driftete schnell zur üblichen Frage ab: Wenn das Internet ausfällt, was fällt mit ihm aus? Die unbequeme Antwort lautet, dass die meisten lebenswichtigen Dienste —Gesundheitswesen, Notruf, Verwaltung— von Vernetzungen abhängen, die niemand für den Betrieb ohne Netz entworfen hat. Dagegen der Volkswitz: das Wichtige auf physischen Datenträgern aufbewahren, am Desktop-PC lesen und der Cloud misstrauen. Prono auf DVD als sichere kritische Infrastruktur klingt nach einem Witz, trifft aber eine Wahrheit: Resilienz entsteht außerhalb des Netzes.

---

Am Ende lautet die Frage nicht, ob die nächste kritische Schwachstelle kommen wird. Sondern ob jemand den Server aktualisiert haben wird, bevor GPT-7 sie findet. Und bei diesen Zeiträumen ist die Wette auf den unangetasteten Server die menschlichste Option.