PHP2Shell: Alte Lücke, neues Tempo

Zwei kritische Lücken im Kern von PHP erlaubten es, Code ohne Anmeldung auf fremden Webservern auszuführen. Weil Details vor Ablauf des Embargos durchsickerten, gingen auch in der Schweiz kantonale Websites und Hochschulportale vorsorglich offline. Die Updates sind inzwischen verfügbar, die akute Phase ist weitgehend vorbei. Die strategischen Fragen beginnen aber jetzt.

KI verschiebt die Kräfteverhältnisse

Die Fehler lagen teils über zehn Jahre unentdeckt im Code. Gefunden haben sie Forschende mit KI-Modellen. Funktionierende Angriffe lagen innert einer Woche vor. In den Stunden nach der Veröffentlichung erfolgten hunderttausende Angriffsversuche.  Diesmal war die Verteidigung schneller. Doch das ist nicht selbstverständlich: Dieselben Werkzeuge stehen früher oder später auch Angreifern zur Verfügung.

Resilienz wird zum Wettbewerbsfaktor

Wer seine Systeme kennt, veraltete Software konsequent ablöst und auf professionellen Betrieb setzt, hatte die Sicherheitslücke in Stunden gefunden und gestopft. Andere dürften noch heute suchen, wo PHP überall läuft. Damit wird klar: Technische Versäumnisse haben ihren Preis, und KI treibt ihn nach oben. Cyberresilienz ist somit keine IT-Kostenstelle mehr, sondern eine Frage der Wettbewerbsfähigkeit. Diese Verantwortung liegt bei den Unternehmen, dort gehört sie hin.

Open Source ist Infrastruktur

Wirtschaft und Verwaltung bauen auf Code, den eine kleine Community pflegt. Der Bund setzt mit dem EMBAG selbst auf Open Source. Wer die Pflege dieser Infrastruktur mitträgt, ist hingegen kaum geklärt. KI wird in Zukunft zahlreiche Lücken finden, die Zahl der Menschen, die sie beheben, aber nicht.

Die Verteidigung braucht Rückenwind

Nach einem solchen Schock folgt oft der Ruf nach neuen Pflichten, Meldeprozessen und Haftungsregeln. Das würde genau jene treffen, die diesmal geholfen haben. Gefragt ist das Gegenteil: Spielraum für den defensiven Einsatz von KI, Rechtssicherheit für Sicherheitsforschende und ein Austausch, der im Ernstfall in Stunden funktioniert und nicht in Formularen. Viele der Unternehmen, die solche Systeme betreiben, Lücken analysieren und Angriffe abwehren, sind Swico-Mitglieder. Ihre Erfahrung gehört an den Tisch, bevor neue Regeln geschrieben werden.

Das fordert Swico

• KI-Regulierung so ausgestalten, dass sie defensive Anwendungen nicht ausbremst
• Rechtssicherheit für Sicherheitsforschende und koordinierte Offenlegung schaffen
• Pflege kritischer Open-Source-Komponenten als gemeinsame Aufgabe von Wirtschaft und öffentlicher Hand anerkennen
• Informationsaustausch zwischen Behörden und Wirtschaft auf Augenhöhe: freiwillig, schnell und in beide Richtungen
• Keine neuen Pflichten oder Haftungsregeln als Reflex auf den Einzelfall

Die Maschine findet die nächste Lücke bald. Ob die Abwehr schneller ist als der Angriff, ist auch eine Frage der Rahmenbedingungen, die wir schaffen.