Mehr Sicherheitslücken als je zuvor?

Ende Oktober 2026 haben zwei Sicherheitslücken in der Programmiersprache PHP weltweit für Unruhe gesorgt. Bekannt geworden sind sie unter dem Namen PHP2Shell, offiziell tragen sie die Kennungen CVE-2026-109618 und CVE-2026-109619. PHP bildet die technische Grundlage eines großen Teils des Internets, etwa für Content-Management-Systeme, E-Commerce-Plattformen und Hosting-Umgebungen.

Entsprechend groß war die Wirkung. Das BSI gab eine Cybersicherheitswarnung heraus, und in vielen Bundesländern wurden zahlreiche Webseiten vorsorglich zeitweise vom Netz genommen. 

Beide Lücken gelten mit 9,2 von 10 Punkten als kritisch. Je nach Einrichtung des Servers können Angreifer damit ohne vorherige Anmeldung eigenen Code ausführen, teils schon in der Standardkonfiguration.

Ungewöhnlich war der Ablauf. Details wurden vorzeitig öffentlich, sodass das PHP-Projekt am 21. Oktober Notfall-Updates bereitstellen musste. Amazon zufolge begannen die Angriffsversuche sogar schon vier Tage vor Erscheinen der Patches.

Inzwischen ist bestätigt, dass die Lücken aktiv ausgenutzt werden. Die US-Cybersicherheitsbehörde CISA führt sie seit dem 26. Oktober als aktiv angegriffene Schwachstellen.

Viele Unternehmen haben PHP nie bewusst ausgewählt. Sie nutzen es indirekt, über den Onlineshop beim Dienstleister, die Website beim Hoster oder die Weboberfläche eines Netzwerkgeräts. Ein großer Teil dieser Installationen wird nicht von der Organisation betrieben, die darauf angewiesen ist, sondern von Hosting-Anbietern, Betriebssystem- oder Geräteherstellern.

Weil die Lücke in PHP selbst liegt, nützt ein Update von WordPress oder einer Shopsoftware nichts. Korrigiert werden muss die PHP-Installation auf dem Server, und das kann nur derjenige, der für sie verantwortlich ist.

Hier zeigt sich, wie moderne Software funktioniert: als Kette von Komponenten, die Dritte entwickeln, pflegen und betreiben. Eine Schwachstelle an einer Stelle wirkt sich auf alle aus, die darauf aufbauen. Auch ein eingespieltes Update beendet das Thema nicht zwingend, denn Systeme, die vor dem Patch angreifbar waren, müssen auf eine mögliche Kompromittierung hin untersucht werden.

Wer PHP2Shell für einen Ausreißer hält, irrt. Bis zum 25. Oktober 2026 hat die US-Schwachstellendatenbank NVD mehr als 86.500 neue Sicherheitslücken erfasst, fast doppelt so viele wie im gesamten Vorjahr und rund viermal so viele wie 2021.

Es werden nicht nur mehr Lücken, sie werden auch gefährlicher: Die Zahl der als kritisch eingestuften Meldungen hat sich gegenüber dem Vorjahreszeitraum fast verdreifacht. Allein im dritten Quartal 2026 wurden mehr Lücken gemeldet als in jedem kompletten Jahr vor 2024.

Gemeldet heißt allerdings nicht angegriffen. Nur ein Bruchteil der Lücken wird tatsächlich ausgenutzt. Doch die Zahl der ausgenutzten Lücken wächst, und vor allem schlagen Angreifer immer schneller zu. Nach Beobachtung der Google Threat Intelligence Group war die Zahl der aktiv angegriffenen Schwachstellen des gesamten Vorjahres bereits Ende August übertroffen.

Der Zuwachs geht vor allem auf Lücken zurück, die bereits öffentlich bekannt sind und für die meist schon ein Update existiert. Das Zeitfenster zwischen Veröffentlichung und Angriff schrumpft, und wie PHP2Shell zeigt, beginnen Angriffe mitunter sogar vor dem Patch. Wer Updates erst nach Wochen einspielt, lässt die Tür genau dann offen, wenn Angreifer am aktivsten sind. Entscheidend ist damit nicht mehr, ob eine Lücke bekannt wird, sondern wie schnell ein Unternehmen davon erfährt, seine Betroffenheit klärt und handelt.

KI hat die Zahl der Meldungen auf zwei Wegen vergrößert. Der erste betrifft die Entdeckung.

Heutige KI-Systeme können Quelltext in kurzer Zeit analysieren, typische Fehlermuster erkennen und gezielt testen. Sicherheitsforschung wird dadurch erheblich billiger, und wer sie betreibt, findet mehr. Eine Auswertung zählt bis zum 23. Oktober 2026 769 Meldungen, die ausdrücklich KI-Werkzeugen zugeschrieben werden. Im gleichen Zeitraum des Vorjahres waren es 34. Da nicht jede Meldung ihre Herkunft nennt, dürfte die tatsächliche Zahl höher liegen.

Google kommt zu dem Schluss, dass KI nicht nur das Tempo verändert, sondern auch die Art der gefundenen Lücken. Die Hälfte der vermutlich von KI entdeckten Lücken ermöglicht das Ausführen von Code aus der Ferne, bei anderen Funden ist es gut ein Viertel. Ein Beispiel ist eine Lücke in der Fernwartungssoftware des Herstellers BeyondTrust (CVE-2026-1731), die ein KI-Agent des Sicherheitsunternehmens Hacktron AI eigenständig entdeckt hatte. Nach ihrer Veröffentlichung im Februar 2026 nutzte eine erste Angreifergruppe sie innerhalb von vier Tagen aus, binnen einer Woche folgten fünf weitere.

Der zweite Weg betrifft die KI-Software selbst. Hier geht es nicht um Lücken, die KI gefunden hat, sondern um Lücken in KI-Anwendungen, gleich wer sie entdeckt hat. Werkzeuge, mit denen Unternehmen KI-Anwendungen bauen, werden oft schnell eingeführt, bevor ihre Sicherheit geprüft ist. Googles Sicherheitsforschungsteam, die Threat Intelligence Group, hat seit Anfang 2025 mehr als 2.000 Schwachstellen in solcher Software gezählt, den Großteil davon im laufenden Jahr. Bestätigte Angriffe darauf gibt es bislang nur in wenigen Fällen.

Der Boom geht allerdings nicht allein auf KI zurück. Auch automatisierte Meldeverfahren großer Softwareprojekte wie des Linux-Kernels treiben die Zahlen. Gleichzeitig kommt die Bewertung nicht hinterher: Mitte August waren knapp vier von fünf der 2026 veröffentlichten Meldungen bei der NVD noch nicht analysiert.

Auch bei PHP2Shell spielte KI eine zentrale Rolle: Ein Forscher des Sicherheitsunternehmens Calif fand die Lücken im Rahmen einer OpenAI-Initiative mit Hilfe eines KI-Modells. Die Schwachstellen steckten teils seit über zehn Jahren im Code. Ein verwandtes Problem war schon 2024 bei einer Prüfung aufgefallen, ließ sich damals aber nicht als ausnutzbar nachweisen. Lücken werden durch KI schneller gefunden und schneller ausgenutzt. Google vermutet, dass Angreifer KI einsetzen, um Updates und Sicherheitshinweise auszuwerten und daraus rasch Angriffe zu bauen. Die Behebung dagegen braucht weiterhin oft Zeit: Bei PHP2Shell vergingen zwischen der ersten Meldung an das PHP-Projekt am 11. August und dem Update am 21. Oktober rund zehn Wochen. Danach muss die Korrektur noch über Hoster und Dienstleister bis auf den einzelnen Server gelangen. Der Engpass liegt damit weniger in der Entdeckung als in der Fähigkeit, Informationen zu bewerten und rechtzeitig zu handeln.

Die Verantwortung für Informationssicherheit lässt sich rechtlich nicht an Dienstleister abgeben. Nach Art. 32 DSGVO muss das Unternehmen ein dem Risiko angemessenes Schutzniveau gewährleisten, gleich wer die Technik betreibt. Führt eine Lücke zu einer Verletzung des Schutzes personenbezogener Daten, muss das Unternehmen dies nach Art. 33 DSGVO grundsätzlich binnen 72 Stunden nach Bekanntwerden der Aufsichtsbehörde melden. Bei hohem Risiko sind nach Art. 34 DSGVO auch die Betroffenen zu informieren.

Für Unternehmen, die unter NIS2 fallen, gelten seit dem 6. Dezember 2025 zusätzliche Pflichten aus dem deutschen Umsetzungsgesetz. Ob ein Unternehmen betroffen ist, hängt vor allem von Branche und Größe ab. 

Erhebliche Sicherheitsvorfälle müssen dem BSI zudem spätestens 24 Stunden, nachdem das Unternehmen davon erfahren hat, in einer ersten Meldung angezeigt werden. Auch außerhalb von NIS2 ist die Geschäftsleitung nicht frei von Pflichten: Die allgemeinen Sorgfaltspflichten, etwa nach § 43 GmbHG, gelten ohnehin. NIS2 macht lediglich konkreter, was angemessene Cybersicherheit bedeutet.

Eine Sicherheitslücke allein führt noch nicht zur Haftung der Geschäftsleitung. Entscheidend ist, ob sie ihre Organisationspflichten erfüllt hat, also Zuständigkeiten geregelt und Abhängigkeiten erfasst hat. Je mehr Lücken gemeldet werden und je schneller Angreifer zuschlagen, desto eher wird ein solches Versäumnis zum Schaden.

In einer Lage wie bei PHP2Shell bleibt handlungsfähig, wer einige Fragen schon vorher geklärt hat. Welche Dienstleister betreiben unsere kritischen Systeme, und was ist mit ihnen für den Fall einer Sicherheitslücke vereinbart? Wer entscheidet im Unternehmen, wenn eine Warnung eingeht? Und wie werden diese Entscheidungen dokumentiert?

Solche Fragen lassen sich mit überschaubarem Aufwand klären, solange kein Druck herrscht. Im Mittelstand fehlen dafür jedoch häufig Zeit und eine Person mit klarem Mandat. Wo diese Strukturen fehlen, kann ein externer Informationssicherheitsbeauftragter sie aufbauen. Er behält Systeme, Dienstleister und Zuständigkeiten im Blick, sodass die Geschäftsleitung im Ernstfall schnell und nachvollziehbar entscheiden kann.

PHP2Shell wird nicht die letzte Lücke dieser Art gewesen sein. Vieles spricht dafür, dass Meldungen in dieser Größenordnung zur neuen Normalität werden, solange KI das Finden von Schwachstellen weiter verbilligt. Wir werden solche Entwicklungen deshalb künftig regelmäßig in unserem Newsletter aufgreifen und einordnen. Dabei fragen wir jeweils, was sie für Lieferketten, Zuständigkeiten und die Verantwortung der Geschäftsleitung bedeuten.

Autor: Francisco Hofmann Carvalho