PHP-Schwachstelle: KI verkürzt den Weg zum Exploit auf wenige Stunden

Künstliche Intelligenz kommt nach Einschätzung des Bundesamts für Sicherheit in der Informationstechnik (BSI) in wachsendem Maße bei digitalen Angriffen zum Einsatz. BSI-Präsidentin Claudia Plattner warnte in einem Interview mit dem Nachrichtenmagazin Der Spiegel, dass Angreifer die Technologie verstärkt nutzen, um Regierungsinfrastrukturen sowie Unternehmenssysteme zu attackieren, Netzwerke zu kompromittieren und Desinformation zu verbreiten.

Dabei übte Plattner deutliche Kritik an den führenden KI-Anbietern aus den USA und China. Ihnen fehle es an Engagement und Ernsthaftigkeit beim Thema Cybersicherheit. Die Amtsleiterin forderte, die Hersteller direkt in die Pflicht zu nehmen, damit diese effektiver gegen unkontrollierte Angriffe über ihre Systeme vorgehen. Da es sich um deren eigene Produkte handele, müssten andernfalls Haftungsfragen greifen.

Herkömmliche politische Instrumente genügen aus ihrer Sicht nicht mehr: Nötig seien verbindliche Regulierungen jenseits bloßer Selbstverpflichtungen, eine unabhängige Prüfstelle sowie eine technische Überprüfbarkeit darüber, welches System eingesetzt wird, wer Eigentümer sowie Auftraggeber ist und welche Berechtigungen der jeweiligen KI eingeräumt wurden. Angesichts der aktuellen Dynamik stünden unruhige Zeiten bevor, mit denen niemand zufrieden sein könne.

Beschleunigte Ausnutzung von Sicherheitslücken

Wie akut die Bedrohungslage ist, zeigt sich auch auf parlamentischer Ebene. Der Vorsitzende des Parlamentarischen Kontrollgremiums, Henrichmann (CDU), sprach gegenüber dem Handelsblatt von einer neuen Dimension der Cyberbedrohung im Zusammenhang mit einem aktuellen Vorfall rund um die weit verbreitete Skriptsprache PHP.

KI mache aus Schwachstellen, die bislang als kaum ausnutzbar galten, binnen kürzester Zeit reale Einfallstore. Zuvor hatten Web-Entwickler mithilfe von KI eine Schwachstelle identifiziert, die den Großteil aller weltweiten Websites betrifft.

Im Anschluss meldete Cloudflare eine Zunahme von Ausnutzungsversuchen. Zudem warnte Microsoft vor einer mit China verbundenen Hackergruppe, die eine IT-Dienstleistungsfirma mittels KI attackierte; laut Berichten wurden kommerzielle Chatbots zudem bei Angriffen auf Banken eingesetzt.

Angesichts der rasanten Entwicklung von KI-gestützten Angriffen müssen Verantwortliche die rechtlichen Rahmenbedingungen genau kennen. Dieser kostenlose Download verschafft Ihnen den Überblick, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt

Rajesh Chhabra vom Sicherheitsanbieter Acronis erläuterte, dass die Spanne zwischen der Veröffentlichung eines Sicherheitspatches und einem funktionierenden Exploit inzwischen nur noch wenige Stunden statt mehrerer Wochen betrage.

KI erzeuge zwar keine neuartigen Lücken, beschleunige aber deren Ausnutzung massiv, wobei zunehmend auch kleinere Unternehmen ins Visier gerieten. Zudem berichtete Chhabra von Vorfällen, bei denen sogenannte KI-Agenten ihre isolierten Testumgebungen verließen und unautorisierten Code ausführten.

Verschärft wird die Situation durch veraltete Softwarestände: Nach Angaben von Mohit Anand vom Unternehmen Mitigata laufen rund 33 Prozent der PHP-Websites noch auf den veralteten Versionen 5 und 7, weshalb ein zügiges Upgrade auf PHP 8 erforderlich sei.

Lage in Deutschland und neue Schutzinitiativen

Auf Bundesebene gibt es bei der aktuellen PHP-Problematik vorerst Entwarnung. BSI-Vizepräsident Thomas Caspers teilte mit, die Behörde registriere zwar Angriffe, jedoch bislang keine erfolgreiche Ausnutzung der Schwachstelle in Deutschland, da dieser Vorgang komplexer als erwartet sei.

Bundesdigitalminister Wildberger erklärte ebenfalls, es lägen keine Hinweise auf eine Kompromittierung von Bundes-Websites oder IT-Systemen vor. Das BSI und das Informationstechnikzentrum Bund hätten schnell reagiert, so der Minister, der vom Beginn eines neuen Zeitalters der Cybersicherheit sprach.

Wer sein Unternehmen vor den wachsenden Risiken durch automatisierte Angriffe und neue Gesetzeslagen schützen will, benötigt proaktive Strategien. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu?

Laut BSI wird das vollständige Ausmaß der PHP-Schwachstelle erst in den kommenden Tagen absehbar sein; während in Deutschland bisher keine Angriffe verzeichnet wurden, sei dies in anderen Ländern laut Cloudflare bereits der Fall.

Um Verwundbarkeiten in der Praxis frühzeitig aufzuspüren, startete das Fraunhofer FKIE am 22. Oktober 2026 die kostenlose Pilotstudie PROBE. Das wissenschaftliche Verfahren testet öffentlich erreichbare IT-Systeme von Firmen, Kommunen und Kliniken in Deutschland und untersucht unter Expertenaufsicht auch den verantwortungsvollen Einsatz agentischer KI.

Interessierte Organisationen können sich bis zum 15. November 2026 bewerben, die Auswahl erfolgt bis Ende November. Das Institut verwies dabei auf den BSI-Lagebericht 2025, der zwischen Juli 2024 und Juni 2025 durchschnittlich 119 neue Schwachstellen weltweit pro Tag erfasste.

Zudem belegt der Hiscox Cyber Readiness Report 2025, dass rund 81 Prozent der betroffenen deutschen KMU die eigene Infrastruktur als primären Einstiegspunkt benennen. Dr. Jan-Niclas Hilgert vom Fraunhofer FKIE betonte vor diesem Hintergrund, dass ein einzelner erfolgreicher Vorfall rasch sechs- oder siebenstellige Schadenssummen nach sich ziehen könne.