Calif findet mit KI Schwachstellen in PHP

PHP ist eine weit verbreitete Programmiersprache für Websites und bildet unter anderem die Grundlage für WordPress, Drupal und MediaWiki. Laut den Quellen wird PHP auf etwa 70 Prozent der Websites weltweit eingesetzt. Die später beschriebenen Schwachstellen lagen im PHP-Quellcode beziehungsweise in der PHP-Kernkomponente und waren seit mehr als einem Jahrzehnt unentdeckt. Betroffen waren laut Wiz mindestens eine PHP-Version aus jedem Veröffentlichungsjahrzehnt seit Version 5.4.

Die Schwachstellen konnten es nicht authentifizierten Angreifern ermöglichen, aus der Ferne Code auszuführen oder Speicherinhalte offenzulegen. Als mögliche Folgen werden die Übernahme betroffener Server, der Diebstahl sensibler Daten und die Veränderung von Website-Inhalten genannt. In den Speicherinhalten konnten sich unter anderem Passwörter, Authentifizierungstoken, API-Schlüssel und Zertifikate befinden.

Calif ist ein Cybersicherheitsunternehmen, das gemeinsam mit OpenAI KI einsetzte, um Schwachstellen im PHP-Quellcode zu suchen. Die Quellen nennen dafür das Modell GPT-5.6 Sol. Calif entdeckte dabei eine PHP-Schwachstelle beziehungsweise arbeitete mit OpenAI an der Entdeckung verwandter Schwachstellen. Parallel fand Wiz die Schwachstellen unabhängig durch KI-gestützte Forschung.

Die Recherche zielte auf den PHP-Code selbst und nicht nur auf eine einzelne Anwendung. Deshalb konnten die Auswirkungen auch Systeme betreffen, die auf PHP basieren, etwa WordPress, Drupal oder Joomla. In den Quellen wird Calif als eines der Unternehmen genannt, die ihre Ergebnisse an das PHP-Projekt meldeten und an der Vorbereitung der Behebung beteiligt waren.

Die Quellen beschreiben KI-Agenten als Hilfsmittel, mit dem Sicherheitsforscher viele mögliche Schwachstellen parallel testen können. Zuvor konnte das Prüfen vermuteter Fehler Wochen dauern, weshalb Forscher priorisieren mussten. Nach Angaben aus dem beschriebenen Forschungsumfeld verkürzt KI Monate herkömmlicher Recherche auf Tage oder wenige Stunden bis Tage.

Für die PHP-Schwachstellen musste eine komplexe Folge technischer Schritte verbunden werden. Dazu gehörten wiederholtes Testen und Debuggen sowie die Anpassung eines Exploits an die Speicherstruktur des jeweiligen Ziels. Die zugrunde liegenden Fehler betrafen die Speicherverwaltung bei fatalen Fehlern, insbesondere bei Fehlern wegen unzureichenden Speichers. Dabei konnte nach dem unerwarteten Ende einer Anfrage ein beschädigter interner Zustand zurückbleiben. Eine spätere Anfrage oder ein späterer Prozess konnte diesen Zustand wiederverwenden.

Die Quellen führen vier ausnutzbare Fehler auf, die unter zwei CVEs zusammengefasst wurden. Die beschriebenen Auswirkungen umfassten das Auslesen des Speichers eines PHP-Prozesses sowie das Verfälschen von Prozessspeicher und die Ausführung von Code. Für die Demonstration wurden unter anderem WordPress, Drupal und Joomla verwendet; laut Quelle lag der verwundbare Code jedoch in PHP selbst und nicht zwingend in diesen Anwendungen.

Die Forschung führte zur Identifizierung von Schwachstellen, die laut den Quellen mehr als zehn Jahre verborgen geblieben waren. Die Schweregrade der beiden CVEs reichten bis zu CVSS 9,2. PHP veröffentlichte einen Patch, der die zugrunde liegenden Probleme beheben und auch Varianten dieses Fehlermusters beseitigen sollte.

Calif, Wiz, OpenAI und das PHP-Team arbeiteten anschließend an der Koordination, an Tests des Patches und an der Vorbereitung der Veröffentlichung. An der Zusammenarbeit waren laut den Quellen rund 15 Personen beteiligt, die sich über mehrere Wochen fast täglich austauschten. Für diese Zusammenarbeit bestanden zunächst keine Verträge; sie beruhte nach der Darstellung von Wiz auf Vertrauen.

Die Veröffentlichung der technischen Informationen löste eine schnelle Reaktion aus. Webseitenbetreiber begannen, ihre Systeme zu aktualisieren. Zahlreiche Websites, darunter Seiten von Behörden und Medien, wurden vorübergehend abgeschaltet oder vorsorglich vom Netz genommen, während Sicherheitsteams die Aktualisierung einspielten. Nach einer versehentlich veröffentlichten Calif-Videodatei mit dem funktionierenden Exploit vervielfachten sich laut den Quellen die Nachahmungsversuche.

Der Fall zeigt den Einsatz von KI zur Schwachstellensuche im Quellcode einer zentral verbreiteten Softwarekomponente. Die Quellen bewerten den Einsatz als Beschleunigung der Prüfung vieler Ansätze und der Entwicklung von Exploits. Gleichzeitig blieb die Arbeit der Sicherheitsforscher umfangreich: Der KI-Agent konnte die Funktionsweise der gefundenen PHP-Schwachstelle zunächst nicht verständlich erklären. Die Forscher benötigten weitere Tage, um die Ursache zu entwirren und den Fehler zu reproduzieren.

Die Quellen stellen außerdem fest, dass die technische Komplexität bislang eine praktische Hürde für die Ausnutzung gebildet hatte. KI verringerte diese Hürde bei den beschriebenen Schwachstellen. Dadurch verkürzt sich auch die verfügbare Zeit zwischen der Entdeckung, der Vorbereitung eines Patches und möglichen Angriffen. Der Fall macht daher neben dem Nutzen für die Abwehr auch den organisatorischen Aufwand für koordinierte Offenlegung, Patch-Tests und schnelle Aktualisierung sichtbar.