PHP-Lücken: NSA warnt, ungepatchte Seiten vom Netz zu nehmen

Die US-amerikanische National Security Agency hat eindringlich vor zwei kritischen Schwachstellen in PHP gewarnt, der serverseitigen Sprache hinter rund 70 Prozent aller Websites. Die PHP Foundation hat bereits Patches veröffentlicht. Der Rat der NSA ist deutlich: Wer eine Seite nicht sofort aktualisieren kann, sollte sie vom Netz nehmen, bis das möglich ist.

Die Lücken erlauben Angreifern den Zugriff auf das Dateisystem eines Servers oder auf die Datenbank einer Webanwendung. Sie stecken in jeder PHP-Version seit PHP 5, das 2004 erschien. PHP 8.1 und ältere Versionen werden nicht mehr unterstützt, weshalb viele Betreiber einen größeren Sprung machen müssen. Empfohlen wird die aktuelle Version PHP 8.5.12.

So kam die KI ins Spiel

Wie TechCrunch berichtet, stammen die Funde aus KI-gestützter Forschung. Das Sicherheitsunternehmen Calif entdeckte im Rahmen von OpenAIs Initiative „Patch the Planet“ für Open-Source-Software mit GPT‑5.6 Sol eine der Lücken. Unabhängig davon setzte Googles Wiz seinen Sicherheitsagenten Wiz Atlas sowie Gemini 4 Argon und GPT-5.6 Sol ein und fand mehrere Schwachstellen.

Beide Teams hielten sich an Responsible Disclosure und erarbeiteten die Fixes gemeinsam mit PHP, bevor sie an die Öffentlichkeit gingen. Wiz dankte außerdem Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft und Vercel für die Hilfe beim Testen der Patches. WordPress, das auf PHP basiert, erklärte, das Problem betreffe nicht nur WordPress; Betreiber müssten ihre Server patchen und sich mit ihren Hostern abstimmen.

Warum das Risiko real ist

Laut OpenAI wurden die Fehler von Forschern gefunden, bevor Angreifer sie nutzen konnten; Angriffe in freier Wildbahn sind nicht bekannt. Wiz warnt jedoch: Früher waren die Lücken schwer auszunutzen, doch KI senkt diese Hürde, da Sprachmodelle Exploits an verschiedene PHP-Versionen, Konfigurationen und Speicherlayouts anpassen können.

Nachdem die Details öffentlich sind, läuft ein Wettlauf, Dutzende Millionen Websites zu aktualisieren, bevor Angreifer die ungepatchten ins Visier nehmen. Betreiber sollten ihre PHP-Version prüfen, auf eine unterstützte Version wechseln und beim Hoster den Patch-Stand erfragen.