Der große Bug-Rückstau: Wie KI jahrzehntelang übersehene Sicherheitslücken aufspürt

Was du wissen musst:

• KI hilft Forschern, schwerwiegende Softwarefehler deutlich schneller und günstiger zu finden.
• PwnEscape und php2shell trafen im Oktober 2026 zentrale Hosting-Infrastruktur.
• Wir patchten alle VPS– und VDS-Hosts, wofür die gesamte Flotte neu starten musste.
• Kein Contabo System oder Kundenserver zeigte Anzeichen einer Kompromittierung.
• Wenn du PHP auf deinem eigenen Server betreibst, aktualisiere es jetzt.

---

Falls du den Eindruck hast, dass dieses Jahr häufiger Warnungen vor kritischen Sicherheitslücken eintreffen, täuschst du dich nicht. Im vergangenen Jahr ist KI deutlich besser darin geworden, Sicherheitslücken zu finden. Viele der entdeckten Fehler existieren schon wesentlich länger, als du vielleicht vermutest.

Im April gab Anthropic bekannt, dass sein Mythos-Modell Tausende Schwachstellen in allen wichtigen Betriebssystemen und Webbrowsern gefunden hatte. Eine davon war in OpenBSD 27 Jahre lang unentdeckt geblieben. Mozilla fand und behob damit 271 Fehler in Firefox. Wenige Wochen später berichtete das britische AI Security Institute, dass OpenAIs frei verfügbares GPT-5.5 ungefähr gleich viel leistete. Seitdem erzielen kleinere Forschungsteams mit günstigeren Modellen ähnliche Ergebnisse.

Wie jedes Unternehmen, das IT-Sicherheit ernst nimmt, begrüßen wir die verantwortungsvolle Offenlegung von Schwachstellen. Wenn Fehler gefunden und behoben werden, stärkt das unser technisches Ökosystem. In den vergangenen Wochen hat sich jedoch gezeigt, dass zwischen Entdeckung, Offenlegung und aktiver Ausnutzung deutlich weniger Zeit liegt. In manchen Fällen bleiben nur wenige Stunden.

Im Oktober erreichte dieser Trend innerhalb einer Woche gleich zweimal unsere eigene Infrastruktur und die aller anderen Hosting-Anbieter. Wegen PwnEscape, einer Schwachstelle im Linux-Kernel, mussten wir jeden von uns betriebenen VPS– und VDS-Host patchen und neu starten. Sechs Tage später erzwangen zwei als php2shell bekannte PHP-Schwachstellen Notfall-Updates in großen Teilen des Webs. Beide wurden von Forschern mithilfe von KI gefunden.

Wir halten das für die neue Realität beim Betrieb von Software im Internet. Die Gründe dafür sind etwas beruhigender, als viele Schlagzeilen vermuten lassen.

Warum passiert das gerade jetzt?

Während eines Großteils der Softwaregeschichte galt viel Code aus einem wenig schmeichelhaften Grund als sicher: Niemand mit den nötigen Kenntnissen hatte je genug Zeit, ihn genau zu prüfen.

Eine schwerwiegende Schwachstelle zu finden, erfordert seltenes Fachwissen und viel Geduld. Nur wenige Menschen bringen beides mit. Sie konzentrierten sich meist auf die größten Ziele, darunter Webbrowser und Smartphone-Betriebssysteme, weil ein funktionierender Exploit dort den höchsten Wert hat. Viele weitverbreitete Programme wurden nie vergleichbar gründlich untersucht. Der Sicherheitsforscher Thomas Ptacek brachte es Anfang des Jahres auf den Punkt: Geschützt habe uns neben guter Entwicklungsarbeit auch „die knappe Aufmerksamkeit von Spitzenkräften“. Die Fehler waren schon immer vorhanden. Wir wussten nur noch nichts von ihnen.

KI hat diese Knappheit beseitigt. Ein Sprachmodell wird weder müde noch gelangweilt und kennt typische Muster von Schwachstellen bereits. Es kann jede verfügbare Codebasis untersuchen. Das Team von pwn.ai, das PwnEscape fand, brauchte nach eigenen Angaben nur drei Tage und Rechenleistung im Wert von weniger als 700 US-Dollar. Die PHP-Fehler steckten seit mehr als zehn Jahren in der Sprache. Laut Wiz Research hätte ein Expertenteam früher Monate gebraucht, daraus einen funktionierenden Angriff zu entwickeln. Mit Unterstützung durch KI schaffte es ein einzelner Forscher in einer Woche.

Der Code wurde also nicht plötzlich schlechter. Er wird nur genauer untersucht, und dabei werden seine Schwachstellen sichtbar.

Überwiegend gute Nachrichten mit einem Haken

Angreifer können dieselben KI-Modelle verwenden, mit denen Forscher diese Schwachstellen gefunden haben. Niemand, der das Thema ernst nimmt, bestreitet das. Bruce Schneier, eine der angesehensten Stimmen in der IT-Sicherheit, erwartet schwierige Jahre: mehr entdeckte Fehler, mehr Angriffe und deutlich häufigere Updates für fast alles, was wir nutzen.

Beide Schwachstellen vom Oktober wurden jedoch von Menschen gefunden, die sie beheben lassen wollten, bevor Angreifer sie ausnutzen konnten. pwn.ai meldete PwnEscape vertraulich und samt Patch-Vorschlägen an die Entwickler des Linux-Kernels. Anschließend wartete das Team rund sechs Wochen auf die Prüfung der Korrektur, bevor es sich öffentlich äußerte. Wiz hielt die PHP-Schwachstellen zwei Monate zurück, während ein Patch entstand. Dabei arbeitete das Team mit Cloudflare, AWS, Google und Microsoft zusammen, damit am Tag der Veröffentlichung bereits Handlungsanweisungen vorlagen. Jeder auf diese Weise gefundene Fehler kann später nicht mehr unbemerkt gegen dich eingesetzt werden.

Langfristig verschiebt dieselbe Technik das Gleichgewicht laut Schneier zugunsten der Verteidiger, weil KI schon beim Schreiben von sicherem Code helfen wird. Vermutlich hat er recht.

Der Haken steckt im Wort „behoben“. Eine gefundene und gepatchte Schwachstelle schützt dich erst, wenn der Patch tatsächlich installiert ist. Genau deshalb wurde der Oktober für uns und große Teile des Internets so turbulent.

Was im Oktober bei uns geschah

PwnEscape war eine Schwachstelle im Netzwerkcode des Linux-Kernels. Sie konnte einer virtuellen Maschine ermöglichen, Speicher des darunterliegenden physischen Servers auszulesen. Auf gemeinsam genutzter Hosting-Hardware umfasst das auch den Speicher anderer Kunden. Für uns war die Lücke daher so schwerwiegend, wie eine Schwachstelle dieser Art nur sein kann.

Unsere Bedrohungsüberwachung erfasste am 4. Oktober erste Details zu dieser Schwachstelle, nachdem sie in sozialen Medien durchgesickert waren. Einen Patch gab es jedoch erst mit der offiziellen Offenlegung am 15. Oktober. Bis dahin verfolgten wir die Entwicklung genau und testeten den kursierenden Proof-of-Concept-Code gegen unsere eigenen Systeme. Keiner dieser Tests führte zu einer vollständigen Ausnutzung. Nachdem der Patch veröffentlicht und von unserem Plattformteam geprüft worden war, begannen wir am Samstag, dem 17. Oktober, mit der Installation. Bis Montag waren 99 % der VPS- und VDS-Flotte fertig.

Ein Kernel-Patch lässt sich nicht ohne Neustart des physischen Hosts anwenden. Deshalb wurden deine Server so kurzfristig neu gestartet. Einige wenige Hosts fuhren nicht ordnungsgemäß hoch und mussten von unseren Technikern manuell wiederhergestellt werden. Für die betroffenen Kunden führte das kurzfristig zu einem längeren Ausfall, wofür wir uns nochmals entschuldigen möchten.

Bei php2shell verlief alles deutlich schneller. Am 21. Oktober veröffentlichte das PHP-Projekt Korrekturen für zwei Schwachstellen, über die Angreifer ohne Anmeldung Code auf einem Server ausführen konnten. Wir setzten die empfohlenen Gegenmaßnahmen innerhalb weniger Stunden um. Noch am späten Vormittag gab es jedoch glaubwürdige Berichte, dass diese nicht ausreichten. Deshalb nahmen wir mehrere erreichbare Systeme vom Netz, darunter das alte Customer Control Panel und unsere verbleibenden älteren Webhosting-Server. Sie blieben offline, bis am Nachmittag die vollständigen Patches verfügbar waren. Das PHP-Projekt bestätigte später, dass es keine vollständigen Gegenmaßnahmen gab und nur ein Update das Problem behob.

Bei keinem der beiden Vorfälle fanden wir Hinweise auf versuchte oder erfolgreiche Angriffe gegen unsere Systeme.

Was nur du auf deinem Server patchen kannst

Die beiden Schwachstellen vom Oktober lagen auf unterschiedlichen Seiten einer wichtigen Verantwortungsgrenze.

PwnEscape betraf Software, die wir betreiben: die Host-Systeme unter deinem Server. Du musstest nichts unternehmen.

Bei php2shell sieht es für die meisten Kunden anders aus. Auf einem VPS, VDS oder Dedicated Server kontrollierst du das Betriebssystem und alle darauf installierten Programme. Wir haben darauf keinen Zugriff, und das sollte ein Hosting-Anbieter auch nicht haben. Wir patchten jede von uns verwaltete PHP-Installation. Wenn du PHP jedoch auf deinem eigenen Server betreibst, auch über eine eigene cPanel-Installation, musst du dieses Update selbst installieren.

Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und ältere Versionen veröffentlicht das PHP-Projekt keine Updates mehr. Prüfe deshalb, ob deine Linux-Distribution eine zurückportierte Korrektur bereitstellt. PHP 8.2 erreicht außerdem am 31. Dezember 2026 sein Lebensende. Jetzt ist ein guter Zeitpunkt, ein Upgrade zu planen.

Diese Verantwortungsgrenze wird in den kommenden Jahren wichtiger. Falls Schneier und andere Fachleute recht haben, werden regelmäßig Sicherheitsupdates für die Software auf deinem Server erscheinen. Die Fehler werden in jedem Fall gefunden. Ob sie dir schaden, hängt vor allem davon ab, wie schnell du die Korrekturen installierst. Für die meisten Kunden bieten automatisch installierte Sicherheitsupdates des Betriebssystems den einfachsten Schutz.

Weitere Fälle werden folgen

Weitere kritische Schwachstellen werden wahrscheinlich ebenso plötzlich entdeckt. Einige davon werden unsere Infrastruktur betreffen, und wir werden sie patchen. Wenn das Risiko es verlangt, kann das kurzfristig geschehen. Andere Fehler werden in Software stecken, die du selbst betreibst.

Unser Sicherheitsteam überwacht rund um die Uhr Herstellerhinweise, Sicherheits-Mailinglisten, soziale Medien und Warnungen von Behörden wie dem deutschen BSI und dem britischen NCSC. Jede eingehende kritische Meldung wird bewertet. Zwischen der Veröffentlichung einer Schwachstelle und ersten Versuchen, sie auszunutzen, können heute nur Stunden liegen. Deshalb müssen auch wir innerhalb weniger Stunden reagieren. Ist die Lage unklar, handeln wir lieber früh und geben der Sicherheit Vorrang. Am 21. Oktober entschieden wir deshalb, Systeme offline zu nehmen, bevor jemand bestätigen konnte, dass dies nötig war. Später stellte sich heraus, dass es nötig war.

Mit jedem solchen Vorfall lernen wir, besser damit umzugehen. Wahrscheinlich werden wir dennoch erneut ähnliche Entscheidungen treffen müssen, was im Interesse der Sicherheit zu unerwarteten Ausfällen führen kann. Wir werden solche Situationen genau beobachten und Unterbrechungen so weit wie möglich begrenzen. Vor allem informieren wir dich so früh wie möglich und halten dich auf dem Laufenden, bis der Vorfall behoben ist. Während eines Vorfalls veröffentlichen wir aktuelle Meldungen auf unserer Statusseite. Ausführlichere Anweisungen findest du in unserem Hilfe-Center.

Danke, dass du uns deine Infrastruktur anvertraust.

FAQ