Künstliche Intelligenz half, langjährige Sicherheitsprobleme aufzudecken
Hannover – (KI/redaktionell geprüft). Zwei kritische Sicherheitslücken in der Programmiersprache PHP haben am Mittwoch, 21. Oktober 2026, zu vorsorglichen Abschaltungen zahlreicher Webseiten geführt. Betroffen waren unter anderem die Internetangebote der Medizinischen Hochschule Hannover und der Polizei Hannover. Die zuständige deutsche Cybersicherheitsbehörde BSI warnte vor möglichen Angriffen und forderte die unverzügliche Installation von Sicherheitsupdates.
Die unter dem Namen „PHP2Shell“ bekannt gewordenen Schwachstellen können es Angreifern ermöglichen, unter bestimmten Bedingungen ohne Anmeldung eigenen Programmcode auf betroffenen Servern auszuführen. Nach den veröffentlichten Sicherheitsinformationen erreichen beide Lücken auf der Bewertungsskala CVSS 4.0 jeweils 9,2 von zehn Punkten und gelten damit als kritisch. Die notwendigen Updates erschienen am Mittwochnachmittag.
MHH, Polizei und auch Charité zeitweise offline
Die Medizinische Hochschule Hannover bestätigte öffentlich, ihre Webseiten vorsichtshalber wegen der PHP-Sicherheitslücke abgeschaltet zu haben. Auch die Internetpräsenz der Polizei Hannover war vorübergehend nicht erreichbar. Nach Angaben der zuständigen Landesbehörde wurden die Webseiten des Landes Niedersachsen in den Wartungsmodus versetzt. Der verantwortliche IT-Dienstleister begann mit dem Einspielen der Sicherheitsupdates.
In Berlin nahm die Charité ebenfalls ihre offizielle Webseite und weitere Internetangebote vom Netz. Nach Angaben aus der Klinik handelte es sich um vorbeugende Maßnahmen. Ein Cyberangriff sei nicht bestätigt worden. Der Klinikbetrieb blieb demnach unbeeinträchtigt, allerdings war die Online-Terminbuchung über die Webseite vorübergehend nicht möglich.
Auch außerhalb Deutschlands reagierten Betreiber mit Abschaltungen, unter anderem in Frankreich, den Niederlanden und Dänemark. Europäische Cybersicherheitsstellen empfahlen, öffentlich erreichbare Anwendungen vorübergehend vom Netz zu trennen, wenn sich die Sicherheitsupdates nicht unmittelbar installieren lassen.
Warum die Schwachstellen so viele Angebote betreffen
PHP wird auf Webservern eingesetzt und bildet eine technische Grundlage zahlreicher Internetangebote. Nach den veröffentlichten Untersuchungen nutzen beispielsweise Anwendungen auf Basis von WordPress, Drupal und Joomla diese Technik. Die Fehler liegen in PHP selbst. Daher kann auch eine Webseite betroffen sein, deren eigener Anwendungscode keine entsprechende Schwachstelle enthält.
Die beteiligten Sicherheitsforscher führen die Probleme auf langjährige Architekturentscheidungen zurück. Die zugrunde liegenden Fehler sollen teilweise seit Jahrzehnten bestehen. Erst die neuen Untersuchungen zeigten, wie sich daraus praktisch nutzbare Angriffsmöglichkeiten entwickeln lassen.
Nach der technischen Darstellung der Projektverantwortlichen betreffen die Schwachstellen die Speicherverwaltung und Fehlerbehandlung. Vereinfacht erklärt können nach dem Abbruch einer Anfrage fehlerhafte interne Speicherzustände zurückbleiben. Werden diese später weiterverwendet, kann das unter bestimmten Bedingungen die Ausführung fremden Codes ermöglichen.
Erste Hinweise gab es bereits 2024
Die Probleme wurden nicht erst mit der Warnung dieser Woche entdeckt. Nach Angaben der Projektverantwortlichen gab es bereits 2024 im Umfeld einer externen Sicherheitsprüfung erste Hinweise auf einen der Fehler. Ein konkreter Weg, darüber fremden Code auszuführen, war damals jedoch noch nicht nachgewiesen. Unterschiedliche Reparaturansätze und begrenzte personelle Ressourcen verzögerten die Behebung.
Im Sommer 2026 machten weitere Untersuchungen das Ausmaß der Gefahr deutlicher. Dabei arbeiteten Sicherheitsforscher mit KI-Modellen. Die verantwortlichen Entwickler erarbeiteten anschließend die Korrekturen und veröffentlichten die Sicherheitsupdates.
Ein beteiligtes Forschungsteam beschreibt, dass KI besonders beim Untersuchen komplexer Fehlerketten und beim Anpassen von Angriffsnachweisen an unterschiedliche Anwendungen half. Arbeiten, die zuvor erheblichen Spezialaufwand erfordert hätten, seien damit innerhalb von Stunden möglich geworden. Diese Aussage bezieht sich auf Untersuchungsschritte und Angriffsnachweise, nicht auf die vollständige Entdeckung und Behebung aller Probleme innerhalb weniger Stunden.
Hostinganbieter begannen mit der Aktualisierung
Am Mittwochnachmittag wurden die korrigierten PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht.
Das Entwicklungsteam forderte Betreiber auf, ihre Systeme unverzüglich zu aktualisieren.
Mehrere Hostinganbieter meldeten daraufhin laufende Installationen oder die Vorbereitung der Updates. Einzelne Dienste wurden nach der Absicherung wieder freigegeben, während für andere Systeme noch Tests und weitere Arbeiten nötig waren, bzw. aktuell noch laufen.
Auch bei der Behebung kann KI unterstützen, etwa durch die Prüfung von Fehlermeldungen, Tests möglicher Reparaturen und die Suche nach verwandten Schwachstellen. Die Projektverantwortlichen betonen jedoch, dass Menschen die Entscheidungen treffen und an jedem Patch arbeiten. Ein automatisch erzeugter Reparaturvorschlag ersetzt somit keine fachliche Prüfung.
KI beschleunigt auch die Entwicklung von Angriffswerkzeugen
Die beteiligten Sicherheitsforscher und Technologieanbieter weisen zugleich auf die andere Seite der Entwicklung hin: Dieselben Fähigkeiten können Angreifern helfen, schneller funktionsfähige Werkzeuge zu erstellen und an unterschiedliche Systeme anzupassen. Ein Computer-Notfallteam warnt außerdem, dass veröffentlichte Sicherheitsupdates Rückschlüsse auf die geschlossene Lücke erleichtern können. Für noch nicht aktualisierte Systeme steigt dadurch der Zeitdruck.
Die vorsorglichen Abschaltungen verdeutlichen, wie viele alltägliche Internetangebote von gemeinsamen technischen Grundlagen abhängen. Auch etablierte Software und bekannte Webseiten bieten keine absolute Sicherheit. Updates, Kontrollen und schnelle Reaktionen können Risiken verringern, vollständig ausschließen lassen sie sich nicht.
Zum verantwortungsvollen Schutz kann deshalb auch gehören, einen Dienst vorübergehend abzuschalten.
