Die Schattenseite KI-gestützter Sicherheitsforschung zeigt der PHP2Shell-Vorfall: Künstliche Intelligenz hilft, lange unentdeckte Fehler aufzuspüren. Gleichzeitig erleichtert sie Angreifern, diese auszunutzen. Experten warnen vor wirtschaftlich attraktiveren Cyberangriffen, kürzeren Reaktionszeiten und einer wachsenden Belastung für IT-Teams.

KI verändert die IT-Sicherheit auf beiden Seiten. Sicherheitsforscher können damit Programmierfehler schneller aufspüren. Angreifer nutzen ähnliche Werkzeuge, um Schwachstellen zu untersuchen und Exploits zu entwickeln. Dadurch können sich künftig auch Angriffe lohnen, die bisher zu aufwändig oder zu teuer waren.

Sebastian Schreiber, Syss»Was gestern noch als unwahrscheinlicher Angriff galt, kann heute bereits wirtschaftlich attraktiv sein«, warnt Sebastian Schreiber, Gründer und Geschäftsführer von SySS. Unternehmen müssten deshalb ihre bisherigen Sicherheitsrisiken neu bewerten.

KI macht bisher unwirtschaftliche Cyberangriffe attraktiv

Bisher konnten Unternehmen manche Restrisiken akzeptieren. Die Suche nach schwer auffindbaren Sicherheitslücken galt für viele Cyberkriminelle als zu teuer. Laut Schreiber ändert KI diese Rechnung. Sie beschleunige die Analyse von Programmcode und senke die Kosten. Auch Angreifer mit weniger technischem Wissen könnten damit Exploits entwickeln, anpassen und gegen zahlreiche Ziele einsetzen.

PHP2Shell zeigt, wie sich die Lage verändert. Die beiden kritischen Schwachstellen CVE-2026-109618 und CVE-2026-109619 betreffen die Speicherverwaltung von PHP. Sie ermöglichen unter bestimmten Voraussetzungen, ohne Anmeldung Schad-Code aus der Ferne auszuführen. An der Untersuchung waren mehrere Forschungsteams beteiligt, die teilweise KI-Werkzeuge einsetzten.

Ein zugrunde liegendes Problem war bereits 2024 aufgefallen. Wie gefährlich es tatsächlich werden konnte, zeigte sich erst bei späteren Untersuchungen. Selbst lange eingesetzter Programm-Code kann demnach kritische Sicherheitslücken enthalten.

Hinzu kommt ein weiteres Risiko: Angreifer können veröffentlichte Sicherheits-Updates automatisiert analysieren und daraus Angriffsmöglichkeiten ableiten. Damit bleibt Unternehmen weniger Zeit, ihre Systeme abzusichern.

PHP2Shell erhöht den Druck auf das Patchmanagement

Mark Molyneux, CommvaultMark Molyneux, Field CTO bei Commvault, sieht darin einen Zielkonflikt. »KI wird helfen, Software sicherer zu gestalten, aber erst mal wird sie die IT-Risikolage erhöhen.« Die PHP-Lücken zeigten, dass selbst zentrale Softwarekomponenten Fehler enthalten können, die weltweit Millionen von Systemen gefährden.

Dass Sicherheitsforscher solche Fehler finden und Hersteller sie beheben, sei grundsätzlich positiv. Doch leistungsfähige KI-Werkzeuge stünden auch Angreifern zur Verfügung. Molyneux erwartet deshalb mehr entdeckte Schwachstellen und zusätzliche Arbeit für IT-Abteilungen.

»Auf die IT-Teams weltweit kommt viel Arbeit zu«, erklärt Molyneux. Unternehmen müssten immer mehr Patches testen, priorisieren und installieren. Wenn mehrere kritische Sicherheitslücken gleichzeitig bekannt werden, könnten manche Updates warten müssen. Vorrang hätten dann die Systeme mit dem höchsten Risiko.

Auch Schreiber warnt vor wachsendem Druck auf das Patchmanagement. Besonders problematisch seien vergessene Testsysteme, Altanwendungen und Fremdprodukte. »Wer nicht weiß, wo verwundbare Software eingesetzt wird, kann sie auch nicht zuverlässig aktualisieren.«

Ein Patch schließt zudem nur die bekannte Sicherheitslücke. Hat ein Angreifer bereits Schad-Code eingeschleust, Zugangsdaten gestohlen oder weitere Systeme erreicht, beseitigt das Update diese Folgen nicht. Unternehmen müssten deshalb auch nach Spuren früherer Angriffe suchen.

Schreiber empfiehlt regelmäßige Penetrationstests. Sie sollen zeigen, welche Schwachstellen Angreifer tatsächlich ausnutzen können und wie sich mehrere Fehler zu Angriffsketten verbinden lassen. KI könne diese Prüfungen beschleunigen. Erfahrene Sicherheitsexperten müssten die Ergebnisse jedoch bewerten und entscheiden, welche Gegenmaßnahmen Vorrang haben.

Wenn die Abwehr versagt, zählt die Wiederherstellung

Molyneux hält es für gefährlich, sich allein auf die Abwehr von Angriffen zu verlassen. Unternehmen müssten sich darauf vorbereiten, dass auch gut geschützte Systeme kompromittiert werden können.

»Da kann die Abwehrmauer noch so hoch sein«, erklärt der Commvault-Manager. »Daher ist es heute wichtiger denn je, sich darauf zu konzentrieren, die Folgen erfolgreicher Attacken einzudämmen.«

Dafür empfiehlt er sogenannte Resilience Operations (ResOps). Der Ansatz soll IT-Sicherheit, Infrastruktur, Geschäftsbetrieb und Wiederherstellung enger verbinden. Unternehmen sollen nicht nur Backups erstellen, sondern regelmäßig testen, ob sie ihre wichtigsten Dienste nach einem Angriff wiederherstellen können.

Zunächst müssen sie ihr »Minimum Viable Business« bestimmen. Gemeint sind die Systeme, Daten und Abläufe, ohne die der Geschäftsbetrieb nicht weiterlaufen kann. Für diese Bereiche braucht es klare Wiederherstellungsprioritäten, geschützte Backups und regelmäßig getestete Recovery-Verfahren.

Auch KI könne helfen, solche Abläufe zu automatisieren. Entscheidend bleibe aber, ob die Wiederherstellung im Ernstfall funktioniert. Molyneux bringt es auf den Punkt: »Entscheidend ist nicht, wie selbstsicher ein Unternehmen behauptet, Angriffe abwehren zu können, sondern wie überzeugend es seine Wiederherstellungsfähigkeit nachweist.«

Hat Weizenbaum vor 50 Jahren bereits recht gehabt?

Doc StorageDer PHP2Shell-Vorfall wirft noch eine grundsätzlichere Frage auf: Macht KI die IT wirklich sicherer, wenn sie gleichzeitig Sicherheitslücken aufdeckt, die sonst möglicherweise noch jahrelang unentdeckt geblieben wären?

speicherguide.de-Kolumnist Doc Storage sieht diese Entwicklung äußerst kritisch. Er bezweifelt, dass menschliche Angreifer die nun veröffentlichten Schwachstellen ohne KI überhaupt gefunden hätten. Seine Reaktion fällt entsprechend deutlich aus:

»Aber bitte – benutzt den Scheiß ruhig weiter – die Leute werden irgendwann, und zwar sehr schnell, bemerken, dass der Kollege Weizenbaum bereits 1977 mehr als Recht hatte.«

Gemeint ist Joseph Weizenbaum, deutsch-amerikanischer Informatiker und einer der frühen KI-Pioniere. In seinem 1976 veröffentlichten Buch »Computer Power and Human Reason« warnte er davor, Computern immer mehr Entscheidungen zu überlassen. Die deutsche Ausgabe erschien 1977 unter dem Titel »Die Macht der Computer und die Ohnmacht der Vernunft«. Weizenbaum kritisierte vor allem den Glauben, Maschinen könnten menschliches Urteilsvermögen und Verantwortung ersetzen.

Doc Storage überträgt diese Warnung auf die heutige KI-Entwicklung. Seine Botschaft: Nur weil eine Technologie etwas kann, muss ihr Einsatz nicht automatisch sinnvoll oder ungefährlich sein.

Allerdings lässt sich nicht belegen, dass die PHP-Schwachstellen ohne KI niemals entdeckt worden wären. Ein zugrunde liegender Fehler war bereits 2024 aufgefallen. Außerdem waren menschliche Sicherheitsforscher maßgeblich an der Aufklärung beteiligt. Und eine unbekannte Sicherheitslücke ist nicht harmlos, nur weil bisher niemand sie ausgenutzt hat.

Darin liegt das Dilemma. KI hilft, Fehler schneller zu finden und zu beheben. Gleichzeitig senkt sie für Angreifer die technischen und wirtschaftlichen Hürden. Sie schafft damit nicht zwangsläufig neue Schwachstellen, kann aber deren Ausnutzung erleichtern und beschleunigen.

Weizenbaums Warnung ist deshalb weiterhin aktuell: Technischer Fortschritt nimmt dem Menschen nicht die Verantwortung ab, seine Folgen zu beherrschen.

Anmerkung der Redaktion:

Karl Fröhlich, speicherguide.deEine besondere Pointe liefert der Ablauf der PHP2Shell-Veröffentlichung. Ursprünglich sollten die Sicherheitsupdates am 22. Oktober erscheinen. Nachdem am 20. Oktober erste Informationen durchgesickert waren, zogen die Entwickler den Termin auf den 21. Oktober vor. Doch auch dieser Zeitplan hielt nicht vollständig: Ein Anbieter veröffentlichte bereits korrigierte Container-Images, bevor die offiziellen Updates bereitstanden.

Ausgerechnet bei der koordinierten Beseitigung einer kritischen Sicherheitslücke sorgten also menschliche Entscheidungen und Pannen für zusätzliche Risiken. Das zeigt uns: Letztendlich ist immer noch der Mensch das Problem. ;-)