Zwei Meldungen der vergangenen Tage gehören zusammen. Für die als „PHP2Shell“ bekannten kritischen Lücken in PHP raten Fachleute laut tagesschau.de, Logdaten rückwirkend bis zum 17. Oktober zu prüfen, weil an diesem Tag erste Angriffsversuche registriert wurden. Zugleich hat Anthropics KI-Modell Claude laut heise online im Linux-Kernel eine Schwachstelle gefunden, die seit Oktober 2015 im IPv4-Code steckte und mit CVSS 9,8 bewertet ist.
Beides zeigt, dass das gewohnte Ritual nicht mehr genügt: Warnung lesen, Update einspielen, Haken dran. Wenn Angriffe schon laufen, bevor ein Patch veröffentlicht ist, beginnt die eigentliche Arbeit erst danach – mit der Frage, ob jemand bereits im System war.
Hinzu kommt ein strukturelles Problem. Viele Firmen wissen laut tagesschau.de gar nicht genau, wo PHP bei ihnen läuft, und Millionen Webseiten setzen Versionen ein, für die es keine Updates mehr gibt. Und wenn KI-Werkzeuge nun systematisch alten Code durchkämmen, werden noch mehr solcher Altlasten ans Licht kommen. heise-Autor Jürgen Schmidt spricht von Sicherheitsschulden, die auf einen Schlag fällig werden.
Für den Mittelstand heißt das: Erstens ein aktuelles Inventar aller Systeme und Softwareversionen. Zweitens Protokolle, die lange genug aufbewahrt werden, um im Ernstfall zurückblicken zu können. Drittens Wartungsverträge, die schnelle Updates verbindlich regeln – auch bei Dienstleistern und Webagenturen.
Wer diese Grundlagen schafft, muss nicht bei jeder neuen Lücke in Panik verfallen.
