PHP-Sicherheitslücke: So gelingt die KI-Verteidigung

PHP-Sicherheitslücke: So gelingt die KI-Verteidigung Die PHP-Sicherheitslücke vom Oktober 2026 ist eine Zero-Day-Schwachstelle in PHP, über die Angreifer ohne Passwort fremden Code ausführen. Gefunden hat sie GPT-5.6 Sol. In seinen KI-News trennt Leonard Schmedding Fakten von Panik. Der wahre Schaden für Europa liegt woanders.

Schwarzer Oktober: Was in 48 Stunden passiert ist

Die Charité, das BKA und mehrere Bundesministerien gingen offline. Dazu kamen die Berliner Feuerwehr, das Klinikum Nürnberg und die Landesregierungen von Hessen, Thüringen und Bayern. Auch München, Dresden und die Universität Potsdam waren betroffen. Im Netz kursierte schnell der Name Schwarzer Oktober . Die Reaktionen klangen nach Ausnahmezustand.

NSA und FBI rieten Organisationen, Systeme notfalls komplett vom Netz zu nehmen. In Großbritannien fielen laut der zuständigen Ministerin 32 Regierungsdienste aus. Die Niederlande schalteten sogar DigiD ab, den digitalen Ausweis für Millionen Bürger.

Cloudflare-Chef Matthew Prince meldete tausende Angriffsversuche schon zehn Stunden vor der offiziellen Bekanntgabe. Danach stiegen sie binnen Stunden auf Millionen. Jason Clinton, Sicherheitschef von Anthropic, erwartet eine Verschärfung. Seiner Einschätzung nach müssen Verteidiger die nächsten rund 18 Monate durchhalten.

Was hinter der PHP-Sicherheitslücke steckt

Die Fakten sehen nüchterner aus. Die Charité und die Ministerien wurden nicht von Hackern lahmgelegt. Sie nahmen ihre Seiten vorsorglich selbst vom Netz , bis das Update lief. Laut BSI ist bis heute kein kompromittiertes System der Bundesverwaltung bekannt. PHP läuft unsichtbar auf Servern und treibt jede WordPress-Seite und Wikipedia an.