Die vergangenen Wochen haben die IT-Welt in Atem gehalten. Mit den kritischen PHP-Sicherheitslücken „php2shell” (CVE-2026-109618 und CVE-2026-109619) und „Broccoli2Shell” wurden innerhalb kürzester Zeit Schwachstellen veröffentlicht, die eine vollständige Übernahme von Servern aus der Ferne ohne jegliche Authentifizierung ermöglichen. Was zunächst wie eine weitere unangenehme, aber beherrschbare Krise wirkte, könnte jedoch erst der Anfang sein. Cloudflare-CEO Matthew Prince warnt eindringlich: Die Ära der KI-gestützten Schwachstellensuche hat gerade erst begonnen und wird uns noch Jahre beschäftigen.
Die php2shell-Krise: Ein Weckruf mit Ansage
Die beiden als „php2shell” bekannten Lücken betreffen die PHP-Runtime selbst und ermöglichen es Angreifern, beliebigen Code auszuführen, sensible Daten auszulesen oder Dienste zu unterbrechen. Da PHP auf rund 70 % aller Websites – darunter WordPress, Drupal und Magento – läuft, war das Gefährdungspotenzial enorm. Die Schwere der Lücken wurde mit 9,2 von 10 bewertet und die PHP Foundation veröffentlichte außerplanmäßig Notfall-Patches für die Versionen 8.2 bis 8.5.
Cloudflare reagierte schnell: Bereits neun Stunden vor der offiziellen Bekanntgabe wurden WAF-Schutzregeln ausgerollt, die alle Kunden – auch solche im kostenlosen Tarif – automatisch absicherten. Doch der Andrang war gewaltig: In den zehn Stunden vor der Veröffentlichung registrierte Cloudflare Tausende Angriffsversuche. Innerhalb von 45 Minuten nach der Ankündigung schnellte diese Zahl auf Zehntausende hoch und nur zwei Stunden später waren es bereits Hunderttausende. Am Ende sprach Cloudflare-CEO Matthew Prince von Millionen automatisierten Angriffsversuchen.
Die neue Dimension: KI als Brandbeschleuniger
Was die aktuelle Situation von früheren Sicherheitskrisen unterscheidet, ist die Rolle der künstlichen Intelligenz. Immer mehr Menschen – und zunehmend auch automatisierte KI-Agenten – durchsuchen den Code kritischer Software nach Schwachstellen. Large Language Models haben die Einstiegshürde für die Suche nach schwerwiegenden Bugs drastisch gesenkt: Was früher Wochen oder Monate hochspezialisierter Arbeit erforderte, lässt sich heute mit einer Flotte von KI-Agenten in Stunden erledigen.
Die Tragweite dieser Entwicklung zeigt sich auch in den Zahlen: Bis September 2026 wurden bereits 60.475 Schwachstellen in einschlägigen Schwachstellen-Datenbanken erfasst, verglichen mit 48.185 im gesamten Jahr 2025. Allein im Oktober 2026 wurden Schätzungen zufolge 3 % aller jemals bekannten Software-Schwachstellen entdeckt. Diese exponentielle Zunahme ist keine Zufallserscheinung, sondern die direkte Folge des KI-Einsatzes.
Cloudflares Warnung: „Jede Woche wird sich anfühlen, als stürze der Himmel ein“
Matthew Prince ist überzeugt, dass php2shell nur der Vorbote einer ganzen Serie ähnlich schwerwiegender Lücken ist. Cloudflare kenne bereits „eine Reihe weiterer schwerwiegender Schwachstellen in anderen kritischen Softwarekomponenten”, deren Namen das Unternehmen jedoch nicht nennt. Prince sagte in einem Interview mit der Nachrichtenagentur Reuters: „Ich glaube, wir werden ein paar Jahre erleben, in denen es sich jede Woche so anfühlen wird, als würde der Himmel einstürzen.“
Diese Einschätzung wird von anderen Sicherheitsexperten geteilt. Man erwartet „noch deutlich mehr Feuerwehreinsätze für alles, was dem Internet ausgesetzt ist“. Einig ist man sich auch darüber, dass die Zeitspanne zwischen der Entdeckung einer Lücke und ihrer Ausnutzung dramatisch schrumpft. Auch Angreifer nutzen KI-Tools, um Exploits schneller zu entwickeln und bestehende Schutzmaßnahmen zu umgehen. So beobachtete Cloudflare, wie Angreifer ihre Payloads mutierten, um die WAF-Regeln zu umgehen.
Was das für Unternehmen und die Zukunft bedeutet
Die zentrale, aber unbequeme Lehre aus der php2shell-Krise ist: Sich nur auf eine WAF oder einen einzelnen Schutzschild zu verlassen, reicht nicht aus. Zwar bot Cloudflares neue „Full Transaction Detection“-WAF einen wichtigen zusätzlichen Schutzlayer, da sie sowohl eingehende Anfragen als auch die Antworten des Ursprungsservers analysiert. Doch Sicherheitsexperten betonen, dass Edge-Filterung nur eine temporäre Lösung ist. Die zugrunde liegenden Systeme müssen schnell gepatcht werden.
Besonders alarmierend ist die Erkenntnis, dass viele der betroffenen PHP-Installationen seit Jahrzehnten ungewartet liefen. Kontinuierliche Wartung ist daher Grundvoraussetzung für die digitale Sicherheit jeglicher Software. Die Zeiten, in denen ein System nach der Installation jahrelang ohne Updates betrieben werden konnte, sind endgültig vorbei.
Fazit: Ein struktureller Wandel, keine vorübergehende Krise
Die php2shell-Episode ist mehr als nur eine weitere Sicherheitspanne. Sie markiert den Beginn einer neuen Ära, in der KI die Geschwindigkeit der Schwachstellensuche und -ausnutzung revolutioniert hat. Cloudflares Prognose von „jahrelangen, wöchentlichen Krisen” mag dramatisch klingen, doch die Daten stützen sie. Die Zahl der gemeldeten Schwachstellen explodiert, die Zeit bis zur Ausnutzung schrumpft und die Angreifer rüsten mit denselben KI-Tools auf wie die Verteidiger.
Für Unternehmen bedeutet das: Sicherheit muss von Anfang an berücksichtigt und kontinuierlich gepflegt werden. Patch-Management, Defense-in-Depth und die Bereitschaft, sich auf eine lang anhaltende Phase erhöhter Wachsamkeit einzustellen, sind keine optionalen Extras mehr, sondern Überlebensbedingungen. Die Frage ist nicht mehr, ob die nächste schwere Sicherheitslücke auftritt, sondern wann.