Die KI Kantine - der Entwickler-Podcast über Künstliche Intelligenz Cover

Die KI Kantine - Der Podcast

Michael Busch

Since 04/2025 79 Episoden

PHP2Shell: Wenn KI aus alten Bugs echte Waffen macht

Wie KI bislang theoretische Sicherheitslücken ausnutzt und warum selbst alte PHP-Systeme plötzlich zum Risiko werden.

28.10.2026 8 min

Zusammenfassung & Show Notes

Eine Sicherheitslücke in PHP, die in ähnlicher Form seit rund 20 Jahren bekannt ist, wurde plötzlich zu einer ernsthaften Bedrohung. Was Sicherheitsexperten lange für praktisch nicht ausnutzbar hielten, konnten spezialisierte KI-Modelle innerhalb weniger Stunden in einen konkreten Angriff verwandeln. Das Problem: Die KI hat keinen neuen Fehler entdeckt, sondern einen bekannten Fehler so lange analysiert und automatisiert bearbeitet, bis er sich ausnutzen ließ.

Besonders brisant ist das für Shops, WordPress-Seiten und andere Systeme, die auf PHP basieren. Denn neben Ransomware-Gruppen gibt es eine regelrechte Industrie, die kompromittierte Systeme und gestohlene Daten weiterverkauft. Ein Update allein reicht deshalb möglicherweise nicht: Betreiber müssen auch prüfen, ob Angreifer bereits Zugang zum System hatten. Die Folge zeigt, wie KI die Einschätzung von Sicherheitsrisiken verändert und warum selbst komplexe, unübersichtliche Systeme keinen verlässlichen Schutz mehr bieten.

Die KI-Kantine ist ein Projekt von Michael Busch – Entwickler, Unternehmer und neugieriger Kantinenphilosoph.

Hier geht’s regelmäßig zur Mittagspause um Künstliche Intelligenz im echten Entwickleralltag – verständlich, praxisnah und mit einer Prise Skepsis.

Neue Folgen erscheinen regelmäßig – meistens genau dann, wenn du dir eh gerade ein Tablett schnappst.

📬 Fragen, Feedback oder eigene KI-Erlebnisse? Schreib mir an podcast@ki-kantine.de

Alle Folgen & mehr: https://ki-kantine.letscast.fm/

Transkript

(Transkribiert von TurboScribe. Upgrade auf Unbegrenzt, um diese Nachricht zu entfernen.) Diese Podcast-Folge über KI nutzt zusätzliche KI -generierte Stimmen. Ja, Mahlzeit. Mahlzeit. Sag mal, hast du noch dein altes Poesie -Album? Also, ich hatte noch nie ein Poesie-Album. Naja, hättest du eins, könnten wir da heute mit KI vielleicht noch richtig was Wertvolles rausholen. Aha. Du hast ja vielleicht mitgekriegt, dass man eine Sicherheitslücke bzw. zwei Sicherheitslücken entdeckt hat. Und deshalb eigentlich das halbe Internet sich erstmal selber ausgeschaltet hat. Und interessanterweise war das mal nicht ein einzelner Programmierer, der einen Fehler gemacht hat in seinem Code und deshalb man auf einen Server zugreifen konnte, sondern diesmal war es direkt im PHP. PHP ist eigentlich so alt, dass man nicht erwarten konnte, dass da noch so ein dicker Bug drin ist. Das, was da jetzt ausgenutzt wurde, die Systemlücke, gibt es eigentlich in der Form schon seit 20 Jahren, aber sie war halt als ungefährlich eingestuft. Interessant. Es gibt so einen Score, CVSS, der beschreibt, wie gefährlich diese Lücke ist. Und da bist du bei 9,2 von 10 Punkten. Nicht schlecht für so einen alten Fehler. Und 2004 hat so ein deutscher Sicherheitsforscher zum ersten Mal beschrieben, dass es mit den PHP -Speicherlimits ein gefährliches Problem gibt. Dann wurde 2020 noch ein nahverwandter Fehler gemeldet, wurde aber auch als praktisch harmlos eingestuft. Und dann gab es noch ein Sicherheitsaudit 2024. Die haben auch eigentlich die Stelle erkannt, aber haben einfach gesagt, es gibt keinen Nachweis, dass es erfolgreich ausgenutzt werden kann. Denn der Fehler, der da existiert, ist einfach so komplex und unberechenbar, dass es so in realen Serverumgebungen eigentlich nicht missbraucht werden kann. Na, da hat man aber die Rechnung ohne KI gemacht. Denn im Rahmen von einem OpenAI-Programm, Hack the Planet, wurden also sehr spezialisierte LLMs entwickelt, die auf sowas trainiert sind. Und durch so eine geduldige Automatisierung von diesen LLMs konnten die diesen Fehler, die haben keinen neuen Fehler entdeckt, sondern haben einfach daran gearbeitet, diesen Fehler auszunutzen. Und da, wo man sonst gesagt hat, okay, es dauert sicher Monate, bis man in so ein System eindringen kann, da schafft das eben die KI das in wenigen Stunden. Aha. Das ist das Gefährliche jetzt daran. Dass es ja sehr viele Schwachstellen gibt, aber die waren sehr theoretisch in Natur. Und auf einmal kriegst du dazu mit KI -Hilfe so Zero-Day-Waffen. Denn so System kennen meistens die Techniker einen Großteil aller Möglichkeiten. Aber die sind dann in der Prioritätenliste so weit unten, weil man einfach sagt, das ist ja unmöglich, das nachzubauen. Und du siehst ja, wenn es auf sowas Grundlegendes wie jetzt zum Beispiel PHP, wo angeblich immer noch 70 Prozent aller Systeme im Internet drauf laufen, also Shops oder WordPress oder andere Content-Management-Systeme. Wenn du hier ein Einfallstor findest, dann hast du aber die freie Auswahl. Als ich das gehört habe, habe ich mir nur so gedacht, ja, es ist wieder so eine Hysterie, weil irgend so ein Bug da ist. Also gerade bei so Shops, Spezial-Shops oder sowas, habe ich mir immer im ersten Moment gedacht, also wenn jetzt da, also wie hoch ist die Wahrscheinlichkeit, dass dieser Shop jetzt gezielt angegriffen wird? Was will man denn da an Daten oder was auch immer rausziehen? Aber ich habe das gelesen, dass es eigentlich zwei große Angreifergruppen gibt. Es gibt einmal die russische Ransomware-Banden, also das sind die, die deinen Rechner dann abschließen, wenn du so willst, und sagen, wir geben dir nur einen Schlüssel, wenn du was bezahlst. Also die müssen deshalb ja in das System eindringen. Und dann gibt es die Chinese Access Industry. Das ist eine Cyberkriminalität, die mir so nicht bekannt war. Die brechen überall ein, wo sie es können. Egal was, völlig wahllos und hoffen, dass es danach einen Markt gibt. Das heißt, du hast quasi, wenn du so willst, im Darknet einen Online-Shop, wo du dir sagen kannst, ich will jetzt Daten von der und der Branche oder was auch immer haben. Und die haben sich überall Backdoors eingebaut oder die Daten schon runtergezogen. Deshalb ist es auch sehr wichtig, dass du einerseits natürlich mit so einem Patch das PHP sicher machst, aber gleichzeitig musst du erst mal sicher gehen, dass die nicht schon drin waren, weil dann haben sie sich eine ganz andere Tür aufgemacht, die jetzt durch das Patch gar nicht mehr abgefangen wird. Deshalb sind auch noch Shops oder andere Webseiten unten, also laufen noch nicht, weil du dafür Fachleute brauchst. Und die kannst du dir vorstellen, die Stundensätze haben sich mal schwerer als verdoppelt und du kriegst sie trotzdem nicht. Das ist jetzt Big Business für diese Leute, weil die müssen jetzt alle möglichen Öffnungen anschauen, um sicherzugehen, dass da nicht schon der böse Chinese drin ist. Ich fand es auch sehr interessant, was die Tipps waren, wie man möglichst schnell seinen Shop sichern kann, ohne das Update schon einzuspielen. Weil manchmal musst du eben PHP-Versionen nach oben erst mal transformieren, um dieses Update überhaupt einzuspielen. Da wurde dann empfohlen, das Speicherlimit aufzulösen. Das heißt, den Speicher unendlich groß zu machen. Denn genau an der Stelle hat dieser Angriff stattgefunden. Denn durch einen geschickten Angriff konnte man PHP dazu bringen, in einen Error zu laufen, weil das Speicherlimit erreicht wurde. Aber in diesem Error wurde nicht wieder alles sauber aufgeräumt. An der Stelle, wo es nicht sauber aufgeräumt ist, konnte noch Code weiter bestehen. Normalerweise, wenn so ein Error entsteht, löscht PHP an. Aber es ist wirklich ein Timing-Thema und man muss genau wissen, was man da mitschickt. Das weiß halt die KI. Das ist ohne die fast nicht möglich. Interessant. Aber wenn es keine Fehlermeldung mehr gibt, weil das Speicher aufgelaufen ist, dann hast du das Einfalltor geschlossen. So absurd das klingt. Es gab immer so eine Aussage, dass du bei so alten, komplizierten Systemen eigentlich gar nicht so viel Gefahren befürchten musst. Denn es gibt da so etwas, was man Security through Obscurity nennt. Also Sicherheit durch Unübersichtlichkeit. Aber die KI guckt da trotzdem durch alles durch. Also du meinst, das ist dann so unübersichtlich wie dieser Pizzaleberkäse? Können wir jetzt endlich mal essen? Die KI-Kantine ist ein Projekt von Michael Busch, der auch beim nächsten Mal wieder ein frisches KI-Gericht auftischt mit einer Prise Pommes und einer Beilage Skepsis.