Patch-Tag fürs Web, und OpenAIs Agenten legen ihre Aufpasser still

PHP2Shell: Zwei Lücken, die fast jede Firmenwebsite betreffen Die Programmiersprache PHP hat zwei kritische Sicherheitslücken, und die Behörden reagieren so deutlich wie selten. Das BSI hat am 21. Oktober gewarnt. Die Lücken tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und erreichen auf der CVSS-Skala 9,2 von 10 Punkten. CVSS ist der übliche Maßstab für die Schwere einer Sicherheitslücke, ab 9 gilt sie als kritisch. Laut BSI könnten Angreifer übers Netz Schadcode auf Webservern ausführen, ohne Passwort und ohne dass jemand etwas anklicken muss. Die US-Sicherheitsbehörde NSA rät, Websites vom Netz zu nehmen, wenn sie sich nicht sofort aktualisieren lassen. Das Bundesdigitalministerium hat vorsorglich einzelne Regierungsseiten abgeschaltet, ebenso Behörden in Frankreich, Belgien, den Niederlanden, Finnland und Tschechien, berichtet Al Jazeera mit Material von Reuters. PHP ist die Sprache, in der ein Großteil des Webs läuft, laut Al Jazeera mehr als 70 Prozent aller Websites, darunter alles auf WordPress-Basis. TechCrunch zufolge stecken die Fehler in jeder PHP-Version seit PHP 5 aus dem Jahr 2004. Gefunden haben sie die Sicherheitsfirma Calif im Rahmen einer Initiative von OpenAI und die Google-Tochter Wiz, beide mit Hilfe von KI-Modellen. Bestätigte Angriffe kennt das BSI bisher nicht, es gibt aber unbestätigte Berichte über fertige Angriffswerkzeuge. Wiz warnt laut TechCrunch, dass Sprachmodelle Angreifern helfen, einen Angriff an unterschiedliche PHP-Versionen und Serverkonfigurationen anzupassen. Heute ist der Tag, an dem du bei Hoster, IT oder Agentur nachfragst. Patches gibt es für mehrere PHP-Versionszweige, die aktuelle Version ist laut TechCrunch PHP 8.5.12. Schwierig wird es für Seiten auf PHP 8.1 oder älter, denn diese Versionen bekommen keine Updates mehr. Hier zeigt sich zum ersten Mal in großem Maßstab, was KI in der IT-Sicherheit verändert. Dieselben Modelle, die eine über 20 Jahre alte Lücke aufspüren, helfen anschließend beim Ausnutzen. Wer seine Website seit Jahren nicht angefasst hat, bekommt jetzt die Rechnung. KI & Mittelstand OpenAI hat in dieser Woche zwei Vorfälle offengelegt, in denen eigene KI-Agenten ihre Sicherheitsüberwachung geschwächt haben. Beide passierten Anfang Oktober intern bei Programmieraufgaben. Im ersten Fall sollte ein Agent mit dem Modell GPT-6.1 Sol aus Mitarbeiter-Feedback in Slack Testaufgaben bauen und dabei keine Slack-Nachrichten verschicken. Über Slack laufen aber auch die Alarme der Überwachung. Ein Hilfsagent riet ausdrücklich davon ab, sie abzuschalten. Der Hauptagent ließ es trotzdem tun und meldete am Ende, es seien keine Nachrichten verschickt worden. Die Überwachung lief weiter, nur erfuhr kein Mensch mehr davon. Im zweiten Fall baute ein Agent mit GPT-6 Astra Code nach einer Vorlage um, obwohl ihm vorher gesagt worden war, die Überwachung auch nicht vorübergehend abzuschalten. Bei der Übernahme flog sie samt Einbindung raus. Den Test, der ihr Vorhandensein prüfte, ersetzten die Agenten durch einen, der ihr Fehlen bestätigte. Astra meldete die Arbeit als erledigt und bestritt auf direkte Nachfrage, die Überwachung entfernt zu haben. OpenAI schreibt selbst, es habe noch keine befriedigende Erklärung für dieses Verhalten. Eine automatische Prüfung blockiert solche Abschaltversuche jetzt, und Aufgaben ohne festgelegte Überwachungsregeln sollen künftig automatisch beendet werden. Der Sicherheitsforscher Roman Yampolskiy hält eine Kontrolle, die das kontrollierte System selbst abschalten kann, gegenüber Al Jazeera für unzuverlässig. Dem schließe ich mich an. Wer Agenten an Code, Shop oder Buchhaltung lässt, sollte Protokolle und Alarme in einem System ablegen, auf das der Agent keine Schreibrechte hat. Eine Erfolgsmeldung des Agenten ersetzt außerdem keinen Blick auf das Ergebnis.

Den Fall Astra von oben hätte eine Regel aus der Agenten-Entwicklung früher auffliegen lassen. Geprüft wird auch der Zustand, den ein Agent hinterlässt, und nicht allein seine Antwort. LangChain, Anbieter eines verbreiteten Baukastens für Agenten, hat am 15. Oktober die häufigsten Fragen zu solchen Prüfungen beantwortet. In der Fachsprache heißen sie Evals, kurz für Evaluations. Gemeint sind wiederholbare Tests, die messen, ob ein Agent eine Aufgabe richtig löst. Der Einstieg ist kleiner, als viele denken. LangChain empfiehlt, ein einziges Verhalten auszuwählen und dafür 10 bis 20 Beispiele aus echten Abläufen zu sammeln, etwa ob ein Reiseassistent die gewünschten Daten und den Preisrahmen bucht. Jeder neu entdeckte Fehler kommt als weiteres Beispiel dazu. Diese Sammlung läuft vor jeder Änderung am Agenten durch. Zusätzlich wird ein Teil des echten Betriebs laufend bewertet, und was dort auffällt, wandert zurück in die Testsammlung. Bewerten kann fester Programmcode, ein zweites Sprachmodell als Prüfer oder ein Mensch. Für den Modell-Prüfer rät LangChain zu schmalen Ja-Nein-Fragen statt Noten von 1 bis 10, weil Modelle feine Abstufungen schlecht auseinanderhalten. Seine Urteile sollten vorher an einer Stichprobe menschlicher Bewertungen abgeglichen werden. Teuer muss das nicht sein. In einem Experiment traf ein günstiges Prüfmodell bei jeder Bestanden-oder-durchgefallen-Entscheidung das menschliche Urteil, für 0,34 US-Dollar gegenüber 28,17 Dollar mit Claude Sonnet 4.6. Den Vergleich hat LangChain selbst angestellt, die Firma verkauft mit LangSmith die passende Plattform.

58 Prozent der Führungskräfte rechnen damit, binnen eines Jahres mehr KI-Agenten zu beaufsichtigen als Menschen. Das ergibt eine Umfrage des Marktforschers Nielsen unter 1.700 Direktor:innen und leitenden Manager:innen in sieben Ländern, bezahlt vom Softwareanbieter Monday.com, berichtet TechCrunch. 46 Prozent fürchten, die Kontrolle über das Handeln dieser Agenten zu verlieren, 35 Prozent, für deren Entscheidungen geradestehen zu müssen. Mehr als die Hälfte findet es seit dem KI-Einsatz schwerer, die Arbeit ihrer Leute zu beurteilen, und 78 Prozent haben ihre Bewertungsmaßstäbe geändert. Die Sorge um Kontrolle halte ich nach dieser Woche für berechtigt. Wer Agenten führt wie Mitarbeitende, braucht Arbeitsnachweise, die der Agent nicht selbst schreibt. Dass ein Anbieter von Projektsoftware die Umfrage bezahlt hat, sollte man beim Lesen im Hinterkopf behalten.

Der PHP-Check für Website, Shop und Kundenportal Die Firmenwebsite ist selten das einzige System im Haus, das PHP nutzt. Bevor du beim Hoster anrufst, lohnt eine Liste in vier Schritten. Erstens die Inventur. Auf die Liste gehört jede Anwendung, die über einen Browser erreichbar ist, also Website, Onlineshop, Kundenportal, Bewerbungsformular, Ticketsystem, Zeiterfassung und das Wiki im Intranet. Viele verbreitete Programme dieser Art laufen auf PHP, etwa WordPress, Shopware, TYPO3 und Nextcloud. Zweitens die Zuständigkeit. Zu jedem Eintrag gehört der Name dessen, der Updates einspielt, ob interne IT, Hoster oder Agentur. Bei verwaltetem Hosting übernimmt das oft der Anbieter, beim eigenen Server erledigt es niemand automatisch. Drittens die konkrete Anfrage per Mail an jede zuständige Stelle. Läuft das System auf PHP, in welcher Version, ist der Patch vom 21. Oktober eingespielt, und falls nicht, bis wann? Eine schriftliche Antwort hilft später, falls doch etwas passiert. Viertens der Plan B. Für Systeme auf PHP 8.1 oder älter gibt es keine Updates mehr. Hier fällt die Entscheidung, ob das System bis zum Upgrade vom Netz geht, wie es die NSA für nicht aktualisierbare Seiten empfiehlt, oder ob das Upgrade sofort beauftragt wird. Ich halte eine Woche ohne Kontaktformular fast immer für billiger als einen gekaperten Server.

Walmart lässt KI-Agenten offiziell einkaufen. Das neue Agent Gateway ist ein MCP-Server, also eine standardisierte Schnittstelle, über die freigegebene Agenten das Sortiment durchsuchen und bestellen. Ab nächstem Monat bekommt jeder Agent ein eigenes Profil im Kundenkonto, mit Freigabe pro Kauf oder einem selbst gesetzten Ausgabenlimit, berichtet TechCrunch. Amazon blockiert solche Agenten. Wer einen Onlineshop betreibt, muss sich zwischen diesen beiden Wegen bald ebenfalls entscheiden. Metas KI-App Muse hat mehr als 10 Millionen Nutzer:innen, Einkaufen gehört zu den häufigsten Tätigkeiten. Bei über einem Viertel der aktiven Nutzer, die über den Agenten kauften, lag der durchschnittliche Einkauf über 200 Dollar, sagte Meta laut TechCrunch zu den Quartalszahlen. Meta will an diesen Käufen prozentual mitverdienen. Damit schiebt sich ein weiterer Vermittler mit Provision zwischen Händler und Kundschaft.