PHP schließt zwei kritische Lücken, gefunden mit KI-Hilfe
2 Meldungenca. 5 Min. LesezeitQuellen geprüft
In einer Minute im Bild
PHP hat am Mittwoch zwei kritische Lücken geschlossen, über die Angreifer ohne Anmeldung Code auf Webservern ausführen können; gefunden wurden sie mit Hilfe von KI-Modellen.
Die Bundesregierung hat am Montag mit Nvidia eine Absichtserklärung zu KI für Fabriken und Maschinen unterzeichnet, Geld und Zugangsbedingungen für den Mittelstand sind noch offen.
PHP schließt zwei kritische Lücken, gefunden mit KI-Hilfe
Das PHP-Projekt hat am 21. Oktober die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei Lücken (CVE-2026-109618 und CVE-2026-109619, beide CVSS 9.2), über die Angreifer ohne Anmeldung Code auf dem Server ausführen können. Laut PHP ist jede Installation betroffen, die Webanfragen bedient; vollständig schützt nur das Update.
Florians EinordnungBemerkenswert ist der Fundweg: Das Sicherheitsunternehmen Calif fand die erste Lücke im August mit Hilfe von OpenAIs Modell GPT-5.6 Sol, Wiz entdeckte beide Wochen später unabhängig, ebenfalls mit KI-Unterstützung. Dieselben Werkzeuge stehen auch Angreifern offen, Cloudflare und watchTowr meldeten noch am Veröffentlichungstag erste Angriffsversuche.
Für deinen Alltag Wenn deine Website, dein Shop oder ein Kundenportal auf PHP läuft (etwa WordPress, Shopware, Joomla oder Drupal), lass dir heute von Hoster oder Agentur schriftlich bestätigen, dass eine der vier gepatchten Versionen oder ein gepatchtes Distributionspaket läuft.
Ganzen Artikel lesen
PHP ist die Programmiersprache hinter einem Großteil der Websites, auch hinter Systemen wie WordPress, Drupal oder Joomla. Am Dienstagabend kündigte das PHP-Sicherheitsteam für Mittwoch, 21. Oktober, 14 Uhr UTC ein Sicherheitsupdate für zwei kritische Lücken an. Details waren laut The Hacker News schon einen Tag vor dem Update durchgesickert.
Die beiden Fehler stecken im Speicherhandling des PHP-Kerns. Laut Sicherheitshinweis von PHP sind alle Installationen gefährdet, die Webanfragen bedienen, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Für mod_php gibt es einen vorgeführten Angriff, bei dem eine Anfrage ohne Anmeldung zuschlägt, bevor überhaupt Anwendungscode läuft. Wiz demonstrierte die Codeausführung gegen die damals aktuellen Container-Abbilder von WordPress, Drupal und Joomla.
Betroffen ist nach Angaben von Wiz jede PHP-Version des letzten Jahrzehnts, zurück bis 5.4. PHP 8.1 und älter bekommt vom Projekt keine offiziellen Updates mehr; das Sicherheitsteam hat für 7.4, 8.0 und 8.1 nur minimale Quellcode-Korrekturen bereitgestellt. Übergangsmaßnahmen in der Konfiguration verringern laut PHP das Risiko, machen eine Installation aber nicht sicher.
Zum Fund: Calif entdeckte die erste Lücke im August bei einer Prüfung des PHP-Quellcodes, die OpenAI über sein Programm Patch the Planet finanzierte, mit Hilfe von GPT-5.6 Sol. Wiz fand beide Lücken unabhängig und nutzte dafür eigene Werkzeuge, Googles Gemini 4 Argon und GPT-5.6 Sol. Laut The Next Web nennen die Sicherheitshinweise des PHP-Projekts Forscher von Calif, Wiz und OpenAI als Melder.
Für Betriebe in DACH zählt vor allem die Wartung. Viele Websites laufen bei Hostern oder werden von Agenturen betreut. Wer nicht weiß, welche Version läuft und wer sie aktualisiert, sollte das jetzt klären.
Bund und Nvidia vereinbaren KI-Initiative für Fabriken, Budget offen
Bundeskanzler Merz, das Wirtschafts- und das Forschungsministerium haben am 19. Oktober beim Invest in Germany Summit in Berlin eine gemeinsame Absichtserklärung mit Nvidia unterzeichnet. Sie sieht eine Initiative für KI-Modelle zur „Physical AI“ vor, also KI, die Maschinen, Roboter und Fertigungsabläufe steuert oder plant. Ein Förderbetrag und Bedingungen für Unternehmen wurden nicht genannt.
Florians EinordnungEine Absichtserklärung ist kein Förderprogramm: Sie beschreibt Ziele, bindet aber niemanden an Leistungen. Politisch ist das Signal klar, denn Merz richtete sich ausdrücklich an den Mittelstand; ob Betriebe davon konkret profitieren, hängt von Zugangswegen und Rechenpreisen ab, die es noch nicht gibt.
Für deinen Alltag Wenn du in Maschinenbau, Fertigung oder Zulieferung arbeitest, besteht aktuell kein Handlungsbedarf; nutze die Zeit, um zu klären, welche Produktionsdaten du hast und wem Rechte daran gehören, bevor Angebote kommen.
Ganzen Artikel lesen
Der Invest in Germany Summit am 19. Oktober sollte ausländisches Kapital nach Deutschland holen. Laut Bundesregierung haben die dort vertretenen Investoren bisher rund 230 Milliarden Euro an Investitionen in Deutschland zugesagt. Für KI im Mittelstand ist vor allem die Vereinbarung mit Nvidia interessant.
Laut Nvidia unterzeichneten Bundeskanzler Friedrich Merz, das Bundesministerium für Wirtschaft und Energie und das Bundesministerium für Forschung, Technologie und Raumfahrt eine „Joint Declaration of Intent“. Sie verpflichtet die Partner zu einer gemeinsamen Initiative für KI-Modelle im Bereich Physical AI. Außerdem wird Nvidias bisherige Zusammenarbeit mit der Plattform Industrie 4.0 formalisiert und ausgebaut, in der Politik, Industrie, Forschung und Verbände sitzen. Ziel der Bundesregierung ist, industrielle KI systematisch in die breite Anwendung zu bringen.
Offen bleibt fast alles, was Betriebe direkt betrifft. Weder Nvidia noch die Bundesregierung nennen einen Förderbetrag. Ob Modelle frei verfügbar, über eine Cloud oder eine Plattform angeboten werden und was Rechenzeit kostet, ist nicht bekannt.
Parallel kündigte Nvidia Beteiligungen an vier deutschen Start-ups an: Agile Robots, Avelios Medical, Mirelo und Reflex Aerospace. Sie gehören zu einer Zusage von fast 10 Milliarden Dollar für Europa. Merz nannte den Mittelstand laut Nvidia Deutschlands größten Vorteil und appellierte an die Unternehmen, laut ComputerBase mit den Worten: „Bitte öffnen Sie Ihre Türen für KI, damit sie Ihre Daten nutzen kann.“
Für KMU in DACH ist das eine Ankündigung zum Beobachten. Der eigentliche Wert industrieller KI liegt in den Daten aus Maschinen und Prozessen. Wer sie teilen soll, braucht vorher Klarheit über Rechte, Speicherort und Kosten.
Du bist ein IT-Berater für kleine Unternehmen ohne eigene IT-Abteilung. Ich betreibe folgende Web-Systeme: [Liste, z. B. Firmenwebsite mit WordPress, Onlineshop mit Shopware, Kundenportal]. Betreut werden sie von [Hoster/Agentur, Vertragsart, falls bekannt]. Aufgabe: Formuliere eine kurze, höfliche, aber verbindliche E-Mail an meinen Dienstleister. Sie soll für jedes System erfragen: welche PHP-Version aktuell läuft, ob die PHP-Sicherheitsupdates vom 21. Oktober 2026 (8.5.12, 8.4.27, 8.3.36, 8.2.35 oder gepatchtes Distributionspaket) eingespielt sind, bis wann das passiert, wer bei künftigen kritischen Updates zuständig ist und wie ich darüber informiert werde. Gib danach eine Tabelle aus mit den Spalten System, Frage, Antwort des Dienstleisters (leer), Nächster Schritt, damit ich die Antworten nachhalten kann. Erfinde keine technischen Details über meine Systeme.
Nutze ihn, wenn deine Website oder dein Shop extern betreut wird und du schnell schriftlich klären willst, ob kritische Updates eingespielt sind und wer dafür verantwortlich ist.
Deep Dive
Wenn KI Lücken schneller findet: Wer wartet eigentlich deine Website?
Die PHP-Lücken dieser Woche sind ein gutes Beispiel dafür, wie sich Sicherheit durch KI verschiebt. Das Sicherheitsunternehmen Calif fand im August die erste der beiden Lücken im Kern einer seit Jahrzehnten verbreiteten Programmiersprache, Wiz stieß Wochen später unabhängig auf beide, und beide Teams nutzten dafür KI-Modelle. Das ist eine gute Nachricht, weil die Lücken gemeldet und geschlossen wurden. Es heißt aber auch, dass solche Funde häufiger und schneller kommen werden, auf beiden Seiten.
Für einen Betrieb ohne eigene IT-Abteilung entscheidet deshalb nicht das neueste Werkzeug, sondern eine schlichte Frage: Wie schnell kommt ein Sicherheitsupdate auf meinen Server? In dieser Woche meldete watchTowr laut The Hacker News schon knapp 20 Minuten nach dem geplanten Veröffentlichungstermin aktive Angriffsversuche. Wer erst bei der nächsten planmäßigen Wartung im Quartal aktualisiert, ist in dieser Zeit offen.
Der erste Schritt ist eine einfache Liste: Welche Systeme sind aus dem Internet erreichbar? Website, Shop, Kundenportal, Buchungssystem, vielleicht eine alte Landingpage aus einer früheren Kampagne. Zu jedem System gehören drei Angaben: Wer betreibt den Server, wer aktualisiert die Software, und welche PHP-Version läuft. Gerade vergessene Altseiten können auf Versionen laufen, für die es keine Updates mehr gibt.
Der zweite Schritt betrifft Verträge. Viele Hosting- und Agenturverträge regeln Erreichbarkeit, aber nicht, wie schnell kritische Updates eingespielt werden. Eine klare Vereinbarung, etwa Einspielen kritischer Updates innerhalb eines Werktags und Information des Kunden, kostet wenig und schafft Verbindlichkeit. Bei Shared Hosting übernimmt der Hoster meist die PHP-Version, bei eigenen Servern oft niemand automatisch.
Der dritte Schritt: Altversionen planen. PHP 8.1 und älter erhalten vom PHP-Projekt keine Updates mehr, PHP 8.2 nur noch bis Ende 2026. Ein Wechsel kann Erweiterungen oder Themes brechen und braucht deshalb Vorlauf. Wer jetzt plant, muss beim nächsten Notfall nicht zwischen Abschalten und Risiko wählen.
Die Nvidia-Vereinbarung zeigt die andere Seite derselben Entwicklung: Industrielle KI soll Daten aus Maschinen und Prozessen nutzbar machen. Auch dort gilt, dass der Nutzen nur so gut ist wie die Grundlagen. Wer weiß, welche Systeme und Daten er hat und wer dafür zuständig ist, kann neue Angebote später nüchtern prüfen, statt unter Zeitdruck zu entscheiden.
KI hilft, Lücken früher zu finden. Schließen muss sie trotzdem jemand, und zwar zeitnah.
Für Ihren Betrieb
Welcher Ablauf lohnt sich bei Ihnen zuerst?
Mit dem kostenlosen KI-Prozess-Check sehen Sie in 15 Minuten, wo in Ihrem Betrieb die meiste Zeit liegen bleibt. Oder wir sehen es uns in 30 Minuten gemeinsam an, kostenlos und ohne Verkaufsgespräch.
