PHPs Stiftung mit einem Angestellten trifft auf KI-schnelle Fehlersuche, während OpenAI die Prämien erhöht

Notfall-Updates und ein Name

Zwei kritische Fehler in PHP fand ein Team mit den KI-Modellen von OpenAI. Kurz nach der Warnung folgten gepatchte Versionen. Laut Cloudflare reicht die Wirkung bis zu Webservern mit PHP 5.4 und neuer.

Wer eine Website betreibt, trägt die Entscheidung über das Patchen jetzt allein. Die Korrekturen liegen vor, doch keine Behörde erzwingt die Installation. Regulierer und Einkäufer bekommen ein durchgerechnetes Beispiel dafür, was die Pflege gemeinsamen Codes kostet. Eine Sprache, die auf etwa 69% der Seiten mit bekannter serverseitiger Sprache läuft, halten ein festangestellter Mitarbeiter und rund 14 Teilzeitbeauftragte am Leben. Diesen Vergleich sollte man festhalten. Was niemand veröffentlicht hat: wie viele Installationen noch ungepatcht sind.

Eine Veröffentlichung vom 3. November berichtete, Regierungen hätten Administratoren zu Notfall-Updates aufgefordert, und fasste die Fehler unter dem Namen PHP2Shell zusammen. Verbreitet wurde sie über TrillionDollarClub, eine Kommunikationsplattform im Dynamic Brand Portfolio bei IBN. Ein Name reist schneller als ein Patch. Das Etikett kam mit der Veröffentlichung, nach den Patches.

In einigen Fällen mussten Regierungswebsites den Betrieb aussetzen. Verzögerungen beim Einspielen der Updates wurden auch nach Auslieferung der Korrekturen noch gemeldet. Ob sie angewendet werden, bleibt den einzelnen Seitenbetreibern überlassen.

Millionen Versuche an einem Tag

Cloudflare-Chef Matthew Prince schrieb auf X, innerhalb von 24 Stunden nach der Offenlegung seien Millionen Angriffsversuche beobachtet worden, Tausende schon davor. Die Cyberabteilung des FBI warnte auf X, die Fehler könnten im PHP-Kern eine Ausführung von fremdem Code aus der Ferne ermöglichen und sensible Daten sowie Netze gefährden.

Die Hoster bewegten sich unterschiedlich schnell. Cloudflare ergänzte Regeln für die Web Application Firewall, um Angriffe zu erkennen und zu blockieren. GoDaddy aktualisierte sein Managed- und Windows-Hosting, für diese Kunden ist nichts weiter zu tun. Selbst verwaltete Seiten und VPS-Betreiber wurden aufgefordert, selbst zu aktualisieren. Cloudflare eröffnete außerdem einen Capture-the-Flag-Wettbewerb auf HackerOne und lud Forscher ein, eine absichtlich verwundbare PHP-Umgebung hinter der eigenen Firewall zu knacken, mit Preisen von 100 bis 10.000 Dollar.

Tausende Versuche vor der Offenlegung. Millionen innerhalb eines Tages danach.

Die Stiftung mit einem Angestellten

Elizabeth Barron, Geschäftsführerin der PHP Foundation, sagte, sie sei die einzige Vollzeitkraft der Organisation. Sie arbeite mit etwa 14 Teilzeitbeauftragten und unbezahlten Vorstandsmitgliedern zusammen.

W3Techs schätzt, dass PHP auf etwa 69% der Seiten läuft, deren serverseitige Sprache bekannt ist. Die Nachfrage nach Korrekturen am Code habe sich verdoppelt, sagte Barron, doch "die Zahl der Mitwirkenden hat sich nicht verdoppelt". Sie ergänzte, es sei klar, dass die Finanzierung für PHP stark fehle. Die Unternehmen und Regierungen, die von der Sprache abhängen, haben ihre Strukturen nach ihrer Darstellung nicht verändert, während die Schlange vor ihrem Team länger wurde.

Ein bezahlter Mitarbeiter. Etwa 14 Beauftragte. Rund sieben von zehn Seiten.

Die Angriffsversuche stiegen nach der Offenlegung stark, die Kapazität der Stiftung wuchs nicht mit.

Warum KI die Rechnung verändert

Die Veröffentlichung zu PHP2Shell argumentiert, KI könne Schwachstellen in Software finden und ausnutzen, schneller als menschliche Verteidiger mithalten können. Weil PHP frei verfügbar und weit verbreitet ist, wirkt ein einzelner Satz Fehler auf Millionen Seiten, kleine Betriebe und öffentliche Dienste, denen eigene Sicherheitsteams fehlen.

Die Prämienzahlen von OpenAI zeigen dasselbe von der anderen Seite. Das Unternehmen zahlt jetzt bis zu 30.000 Dollar für eine kritische Schwachstelle in Kernprodukten wie ChatGPT oder Codex. Außergewöhnliche Funde können 100.000 Dollar erreichen, Qualitäts-, Treue- und Kampagnenboni heben die Summe auf rund 172.000 Dollar. OpenAI hat die Auszahlungen vervierfacht, ein fünfstufiges Treueprogramm eingeführt und zahlt die Differenz rückwirkend an alle, die in den vergangenen 30 Tagen gemeldet haben. Damit liegt OpenAI in derselben Größenordnung wie Googles allgemeines Programm für Schwachstellenprämien, aber weiterhin unter den Spitzenprämien, die Apple oder Microsoft für Exploits auf Betriebssystemebene zahlen. Als Nächstes folgt ein Sicherheitssprint mit der Firma Cathedral; beim letzten arbeiteten laut Unternehmen 25% der Produktingenieure von OpenAI an der Suche nach Schwachstellen.

Stellen Sie die beiden Budgets nebeneinander. Ein kritischer Fehler bei OpenAI kann rund 172.000 Dollar wert sein. Der Hauptpreis in Cloudflares PHP-Capture-the-Flag liegt bei 10.000 Dollar.

Wie es weitergeht

Eine Umfrage von Network Solutions unter 121 US-Kleinunternehmern mit eigener Website ergab, dass 45% noch nie von PHP gehört hatten.

Die Korrekturen liegen also in einer Schlange, für die niemand zuständig ist. Das Patchen bleibt eine Entscheidung pro Seite, ohne zentrale Durchsetzung. Die angebotenen Mittel sind vertraut: schnellere Updates, mehr Geld für die Maintainer, bessere Offenlegung. Keines davon bringt einen Mechanismus zur Durchsetzung mit. Die Lücke zwischen dem, was KI findet, und dem, was eine Stiftung mit einem Angestellten reparieren kann, ist inzwischen die Betriebsbedingung für einen großen Teil des Webs.

Barron bittet um Geld, nicht um eine neue Aufsichtsbehörde. Ob die Geldgeber zuhören, ist die offene Frage, und die Umfrage oben legt nahe, dass viele Seitenbetreiber es ohnehin nicht bemerken würden.