Künstliche Intelligenz fand Lücken in PHP, manche älter als zehn Jahre: Europa schaltet staatliche Websites ab

Manche der Lücken steckten seit mehr als zehn Jahren im Code von PHP, vor den Augen der Entwickler, und niemand erkannte, wie gefährlich sie sind. Es brauchte künstliche Intelligenz, um sie zu finden. Jetzt schalten Regierungen in ganz Europa Teile ihrer Websites ab, und die Wikimedia Foundation, die Wikipedia betreibt, hat eine Reihe von Hilfsdiensten deaktiviert.

Die meisten Menschen haben nie von PHP gehört, nutzen es aber täglich. Darauf laufen Portale, Onlineshops, Behördenseiten und Systeme wie WordPress, auf dem Millionen Websites aufgebaut sind. Laut den zitierten Daten nutzen fast 70 Prozent der Websites, deren Programmiersprache bekannt ist, PHP. Das heißt nicht, dass 70 Prozent des Internets gehackt sind. Es heißt, dass das Problem in einer Technologie steckt, die überall ist.

Die Lücken sind aus einem einfachen Grund gefährlich: Unter bestimmten Bedingungen kann ein Angreifer auf dem verwundbaren Server eigene Befehle ausführen, ohne Benutzernamen und Passwort. Das öffnet den Weg zum Diebstahl sensibler Daten und zur Veränderung von Website-Inhalten. Die zweite Lücke kann Teile der Daten offenlegen, die der Server im Speicher hält.

Von Finnland bis Oxford

Finnland schaltete vorsorglich einen Teil seiner öffentlichen Onlinedienste ab, ähnliche Maßnahmen ergriffen Behörden in den Niederlanden. In Großbritannien sind mindestens 32 Regierungsdienste weiterhin nicht erreichbar, vier weitere laufen mit Störungen. Vorübergehend fielen auch die Websites einiger Kommunalverwaltungen aus, darunter Edinburgh und Oxford, sowie Teile der Onlinedienste der BBC. Die britischen Behörden versichern, zentrale öffentliche Dienste seien nicht gefährdet. Das Abschalten bedeutet nicht, dass diese Institutionen gehackt wurden. Es ist eine Vorsichtsmaßnahme.

Die schlechtere Nachricht ist die Chronologie. Amazon Web Services registrierte Versuche, die Schwachstelle auszunutzen, bereits am 17. Oktober - vier Tage vor der Veröffentlichung der Sicherheitspatches. Das heißt: Jemand wusste von den Lücken, bevor die Administratoren davon erfuhren. Wie lange und ob er schon irgendwo eingedrungen ist, kann derzeit niemand bestätigen.

Ein zweischneidiges Schwert

An der Entdeckung waren Experten mehrerer Unternehmen beteiligt, mithilfe der KI-Modelle von Google und OpenAI. Das ist die gute Hälfte der Geschichte. Die schlechte: Das Werkzeug, das Verteidigern hilft, Lücken schneller zu finden und zu schließen, hilft Angreifern genauso schnell, sie auszunutzen. Das Rennen misst sich nicht mehr in Monaten, sondern in Tagen.

Normale Nutzer, die nur surfen, sind nicht direkt gefährdet. Das Problem liegt auf den Servern, die Patches müssen Website-Betreiber und ihre Hosting-Anbieter einspielen. Die eigentliche Gefahr für Bürger sind gefälschte Nachrichten, die die Angst ausnutzen, um Passwörter zu stehlen. Kroatiens nationales CERT hat bereits eine dringende Warnung an Administratoren herausgegeben. Hat in den mazedonischen Institutionen schon jemand die eigenen Server geprüft - und würden wir es überhaupt erfahren, wenn nicht?