KI findet Lücke in siebzig Prozent des Internets: Was davon müssen Sie diese Woche patchen?

Shownotes

„KI deckt kritische Lücken auf, die siebzig Prozent des Internets betreffen“, titelt die Sicherheitsfirma Wiz zu PHP2Shell. Tina misst die Schlagzeile nach. Die Lücken sind echt, und das Update ist Pflicht. Die siebzig Prozent messen aber, wie viele Websites PHP benutzen, nicht wie viele verwundbar sind. Und die „Millionen Angriffe“ sind Versuche. Dazu dasselbe Muster bei Node.js und Git, unser eigener Fall mit einem Update, das nur auf dem Etikett eines war, drei Schritte für diese Woche und eine terminierte Prognose.

Die Themen:
- Nachgetragen in eigener Sache: Die für den 14. Oktober angekündigte Folge „Ist KI der Jobkiller Nummer eins?“ kam nicht, es gab zwei Wochen Pause. Sie kommt nächste Woche. Das Produkthaftungsgesetz aus Folge 12 hat der Bundestag am 8. Oktober beschlossen, der Bundesrat hat am 16. Oktober keinen Einspruch eingelegt (BR-Drs. 584/26 Beschluss). Es tritt am 9. Dezember 2026 in Kraft. Unser Befund bleibt: Geschützt sind natürliche Personen, nicht Unternehmen
- Was stimmt: Zwei Lücken im Kern von PHP, CVE-2026-109618 und CVE-2026-109619, beide vom PHP-Projekt als kritisch eingestuft (CVSS 4.0: 9.2), ausnutzbar ohne Anmeldung, die Angriffskomplexität stufen die Advisories als hoch ein. Am höchsten ist das Risiko laut PHP-Projekt bei Apache mit mod_php. Behoben in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12, veröffentlicht am 21. Oktober 2026
- Die siebzig Prozent: W3Techs misst, dass PHP von 69,2 Prozent aller Websites verwendet wird, deren serverseitige Programmiersprache bekannt ist. Das ist eine Nutzungszahl, keine Zahl verwundbarer Systeme
- Wie viele verwundbar sind: Der Internet-Scanner Censys wird mit drei verschiedenen Zahlen zitiert, 34,4, 36,7 und über 41 Millionen Dienste. Gezählt werden Dienste, nicht Server; laut Fortinet können darunter Systeme sein, die über Backports der Distributionen längst gepatcht sind. Das Censys-Original haben wir nicht gelesen
- Die Angriffe: Cloudflare-Chef Matthew Prince meldet Tausende Versuche schon vor der Veröffentlichung und Millionen am Tag danach. Laut The Record und Cybersecurity Dive (Stand 23. Oktober) gibt es keinen Beleg für erfolgreiche Ausnutzung in großem Stil, Google beziehungsweise Mandiant halten Angriffe in begrenztem Umfang aber für möglich; einige öffentliche Angriffscodes funktionieren laut Google/Mandiant gegen mod_php in der Standardeinrichtung, nicht gegen PHP-FPM. Die beiden Berichte schreiben dasselbe Zitat verschiedenen Personen zu. Sophos hat eine Meldung über einen Erfolg zurückgezogen. Alles das haben wir nur über Presseberichte gelesen
- Die Liste der US-Behörde CISA: Beide Lücken stehen seit 26. Oktober im Katalog der bekannten ausgenutzten Schwachstellen. Nach CISAs eigener Definition zählen dazu auch versuchte Angriffe; erfolgreich ausgeführter Schadcode auf einem Honeypot gilt dort als Versuch
- Das Urteil nach unserer Skala (belegt, belegt aber irreführend dargestellt, unbelegt, widerlegt): belegt, aber irreführend dargestellt. Wer an der Zahl verdient: Wiz verkauft Sicherheitssoftware und gehört zu den Meldern; Wiz dankt für die Entdeckung unter anderem OpenAI. Cloudflare verkauft Schutz vor solchen Angriffen
- Dasselbe Muster: Die „Node-Shell“ ist ein Fehler in Googles Brotli-Bibliothek (CVE-2026-111497), Node.js stuft ihn als hoch ein, Google als kritisch. Die „Git-Lücken“ des Oktobers betreffen GitLab; das Git-Projekt selbst hat seit Juli 2025 keine Sicherheitswarnung veröffentlicht
- Der Streit der Folge: Frank sieht den Moment, an dem KI die Sicherheit kippt. Tina hält dagegen, dass kein erfolgreicher Einbruch unabhängig bestätigt ist. Frank antwortet mit den Versuchen vor der Veröffentlichung
- Das Lagerfeuer: unser eigener Fall. Das Mailcow-Paket mit der Bezeichnung 8.2.35-1 enthielt am 21. Oktober für knapp zwei Stunden noch PHP 8.2.34. Gemerkt haben wir es, weil wir die Version im Programm abgefragt haben statt auf dem Etikett. Mailcow hat das Paket gegen 19:25 Uhr deutscher Zeit ausgetauscht, danach hat ein anderer Nutzer den Fehler öffentlich gemeldet. Bis zum offiziellen Mailcow-Update vier Tage später liefen bei uns die Notlösungen des PHP-Projekts
- Drei Schritte für diese Woche, ohne Budget: den Hoster schriftlich nach PHP-Version und Neustart fragen; die tatsächlich laufende Version nachmessen statt das Etikett zu lesen, und prüfen, ob die eigene Node-Version noch Updates bekommt; wer GitLab, Gitea oder Forgejo selbst betreibt, prüft heute die Version (im CISA-Katalog stehen fünf GitLab-Lücken und eine Gitea-Lücke). Und wer nicht weiß, was im eigenen Haus aus dem Internet erreichbar ist: eine Liste anlegen, mit einem verantwortlichen Namen je System
- Die Prognose der Folge, geführt in unserem Mess-Sheet: Am 30. Juni 2027 läuft laut W3Techs noch mindestens ein Viertel aller PHP-Websites auf Version 7 oder älter. Stand 27. Oktober 2026: 34,4 Prozent. Fällt der Anteil darunter, lag Frank falsch

Quellen:
- Wiz, PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet: https://www.wiz.io/blog/php2shell-php-rce
- PHP-Projekt, Ankündigung der Sicherheitsupdates: https://www.php.net/archive/2026.php
- PHP-Projekt, Advisory CVE-2026-109618: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
- PHP-Projekt, Advisory CVE-2026-109619: https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
- W3Techs, Usage statistics of PHP (Stand 27. Oktober 2026): https://w3techs.com/technologies/details/pl-php
- CISA, Known Exploited Vulnerabilities Catalog (Katalog 2026.10.26): https://www.cisa.gov/known-exploited-vulnerabilities-catalog
- CISA, Definition aktiver Ausnutzung: https://www.cisa.gov/known-exploited-vulnerabilities
- Fortinet, Censys-Zahl und Einordnung: https://www.fortinet.com/blog/industry-trends/understanding-php2shell-vulnerabilities-and-reducing-risk-while-you-patch
- The Record, Sophos und Google zur Ausnutzung: https://therecord.media/php-php2shell-exploitation-attempts-pocs
- Cybersecurity Dive, Mandiant zur Ausnutzung: https://www.cybersecuritydive.com/news/php-exploitation-slower-than-expected/833855/
- SecurityAffairs, Cloudflare-Zahlen: https://securityaffairs.com/?p=201538
- Ubuntu, CVE-2026-109618: https://ubuntu.com/security/CVE-2026-109618
- Mailcow, Issue 7538: https://github.com/mailcow/mailcow-dockerized/issues/7538
- Node.js, October 2026 Security Releases: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
- NVD, CVE-2026-111497: https://nvd.nist.gov/vuln/detail/CVE-2026-111497
- Git-Projekt, Security Advisories: https://github.com/git/git/security/advisories
- GitLab, Patch Release 19.5.1: https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/
- Bundesrat, Drucksache 584/26 (Beschluss) (PDF): https://dserver.bundestag.de/brd/2026/0584-26B.pdf
- Deutscher Bundestag, Beschluss Produkthaftungsrecht am 8. Oktober 2026: https://www.bundestag.de/dokumente/textarchiv/2026/kw41-de-produkthaftungsrecht-1222456

Wichtig: Alle Aussagen wurden am 27. Oktober 2026 gegen die genannten Quellen geprüft. Aussagen von Cloudflare, Google, Mandiant, Sophos und Censys stammen aus den genannten Presseberichten. Diese Folge ersetzt keine Sicherheitsberatung.

Unser Mess-Sheet mit allen geprüften Versprechen und den offenen Prognosen: https://darc-transform.de/podcast/mess-sheet/

Schicken Sie uns das Versprechen Ihres KI-Anbieters, gern per E-Mail oder auf LinkedIn. Wir suchen uns jede Woche eines zum Nachmessen aus; ein Anspruch auf Prüfung besteht nicht, und für Verdachtsfälle gelten die Regeln sorgfältiger Berichterstattung.

Nächste Folge am 4. November: Ist KI der Jobkiller Nummer eins? Wir lesen nach, was die meistzitierte Zahl wirklich zählt. Wie immer mittwochs um 11:07 Uhr.

Mehr zum Podcast: https://darc-transform.de/podcast/

KI-Transparenz: Beide Stimmen in dieser Folge sind KI-generiert, auch Frank hören Sie als KI-Stimme. Die Gedanken und die Worte sind seine. Mehr: https://darc-transform.de/podcast/