Das Entwicklungsteam der Programmiersprache PHP hat die Veröffentlichung dringender Sicherheitsupdates bekannt gegeben, um zwei als "kritisch" eingestufte Sicherheitslücken zu beheben, die einen Schweregrad von 9,2 von 10 erreichten. Diese Schwachstellen ermöglichen es Angreifern, Schadcode aus der Ferne ohne Authentifizierung auszuführen, was ihnen die vollständige Kontrolle über die betroffenen Server verleiht.
Details zu den Schwachstellen und betroffenen Versionen
Diese Schwachstellen betreffen insbesondere Server, die mod_php-Konfigurationen innerhalb von Apache-Servern verwenden. Die Updates, die diese Risiken beheben, umfassen die folgenden PHP-Versionen: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Das Entwicklungsteam fordert alle Systemadministratoren dringend auf, ihre Server sofort zu aktualisieren.
Es wurde zudem darauf hingewiesen, dass PHP-Versionen 8.1 und älter keinen offiziellen Support mehr erhalten, was ihre Nutzer anfällig für Risiken macht; daher wird empfohlen, auf unterstützte Versionen zu migrieren oder Sicherheits-Patches von Softwareanbietern zu beziehen.
Die Rolle der Künstlichen Intelligenz bei der Entdeckung
Das auf Cybersicherheit spezialisierte Unternehmen Wiz Research gab bekannt, dass die Entdeckung dieser komplexen Schwachstellen im PHP-Quellcode mit Unterstützung fortschrittlicher KI-Modelle, namentlich Gemini 4 Argon und GPT-5.6 Sol, erfolgte. Das Modell Gemini 4 Argon spielte eine zentrale Rolle bei der Analyse des Codes und der Validierung der Sicherheits-Patches, was die Bedeutung von KI bei der Stärkung der Sicherheit der Infrastruktur von Open-Source-Software unterstreicht.
Warum verzögerte sich die Behebung?
Das PHP-Entwicklungsteam räumte ein, dass ein "strukturelles Versagen" zu einer Verzögerung bei der Behebung einer der Schwachstellen führte, deren erste Anzeichen bereits im Jahr 2024 beobachtet wurden. Das Team erklärte, dass Ressourcenmangel und technische Differenzen die Lösung zu diesem Zeitpunkt behinderten. Dennoch trugen die Sicherheitsüberprüfungen, die im Rahmen des Programms "Patch the Planet" von OpenAI im vergangenen August und September durchgeführt wurden, dazu bei, konkrete Beweise dafür zu liefern, wie die Schwachstelle ausgenutzt werden kann, was das Team dazu veranlasste, das Tempo der Fehlerbehebung nach dem Durchsickern von Informationen über die Schwachstellen in den sozialen Medien zu beschleunigen.