Binadit · 3 November 2026

Die Dinge liefen jahrelang gut, bis die KI begann, herauszufinden, warum alte Lecks nun ein Risiko für Ihr Unternehmen darstellen

Das Leck in PHP gab es etwa 14 Jahre lang. Ein Leck in Linux 9 Jahre. Währenddessen drehte sich die Software einfach weiter und alles schien gut zu laufen. Bis die KI die Fehlersuche viel schneller machte. Das ändert eine feste Annahme vieler Unternehmer: Was lange gut gelaufen ist, läuft von alleine nicht mehr gut.

OpenBSD, 27 Jahre

FFmpeg, 16 Jahre alt

PHP, ca. 14 Jahre

Linux, Kopierfehler, 9 Jahre

Linux, CVE-2026-31695, fast 5 Jahre

Jetzt kommen alte Fehler an die Oberfläche

Dies ist keine unbekannte Hobby-Software. Es ist Software, auf der Unternehmen, Regierungen und ein großer Teil des Internets laufen. Tausende von Entwicklern haben es sich angesehen, und doch blieben diese Fehler jahrelang bestehen.

PHP: 14 Jahre lang nichts los

Die Lecks, die als PHP2Shell, CVE-2026-109618 und CVE-2026-109619 bekannt wurden, waren seit PHP 5.4 im Jahr 2012 im Code enthalten. Eine eingeschränkte Variante wurde bereits 2024 gefunden, galt aber damals als nicht wichtig. Im August 2026 fanden Forschungsgruppen die Fehler mithilfe von KI. Dann ging es schnell. Innerhalb von etwa einer Woche gab es Arbeitsangriffe auf WordPress und Drupal bereit in der Untersuchung. Am 21. Oktober kamen die Updates an, und Cloudflare verzeichnete Zehntausende von Angriffsversuchen, später Millionen, innerhalb von 45 Minuten. Palo Alto Networks verfügte über 22,6 Millionen potenziell anfällige Installationen. In den Niederlanden gingen Regierungs-, Gesundheits- und Nachrichtenseiten in Erwartung der Patches vorübergehend offline. Offline zu gehen bedeutet nicht, dass eine Website gehackt wurde, es war oft eine Vorsichtsmaßnahme. Am 22. Oktober teilte das NCSC mit, dass es noch keinen Missbrauch auf niederländischen Websites gesehen habe.

Linux: gleiches Muster

Copy Fail, CVE-2026-31431, war seit 2017 im Linux-Kernel und wurde mit Hilfe von KI gefunden. Dadurch kann ein normaler Benutzer im System verwurzelt werden. CVE-2026-31695 war fast fünf Jahre im Kernel, und ein funktionierender Exploit wurde nun gemeldet. ZcopyReaper, CVE-2026-43502, gibt es seit Kernel 4.17. Jüngere Fehler machen sich ebenfalls deutlicher bemerkbar. Fragnesia, CVE-2026-46300, ist kein altes Leck, sondern kam über einen früheren Patch. Es steht seit dem 28. Oktober auf der aktiven Missbrauchsliste des CISA. Dort ist es mit PHP2Shell verknüpft: zuerst über die Website, dann die volle Kontrolle über den Server.

Das ist erst der Anfang

KI macht Forscher nicht nur schneller, sondern auch Angreifer. OpenAI selbst erkennt an, dass die gleichen Funktionen Angreifern helfen können, schnell Angriffstools zu erstellen. Der britische NCSC warnte bereits im Mai vor einer Welle dringender Updates für alle Arten von Software, einschließlich Open Source und SaaS. Niemand weiß, welche Software als nächstes kommt. Es ist jedoch klar, dass es immer noch viel alten Code gibt, der noch nie so gründlich untersucht wurde, wie es jetzt möglich ist. Zählen Sie also auf mehr solcher Wochen.

Was das für Sie als Unternehmer bedeutet

Vielleicht denken Sie: Meine Website läuft seit zehn Jahren ohne Probleme. Das ist es, was viele im Web über PHP gesagt haben. Ein Leck kann bedeuten, dass Kundendaten auf der Straße sind, Ihr Webshop oder Ihre Anwendung ausfällt oder Angreifer Ihren Server herunterfahren. Es folgen Fragen von Kunden, Reparaturkosten, verpasste Verkäufe und manchmal ein Bericht an die Regulierungsbehörde. Reputationsschäden beginnen oft mit einer Nachricht eines Kunden: Was ist mit meinen Daten passiert? Angreifer müssen dich nicht wählen. Bei PHP2Shell gingen die Versuche in die Millionen. Du bist also kein Ziel, weil du groß bist, sondern weil du online bist.

Ihr Code und Ihr Server sind zwei verschiedene Probleme

Sie können Lecks in PHP und Linux auf dem Server beheben. Die Fehler in Ihrer eigenen Website oder Anwendung sind in Ihrem Code enthalten: ein Formular, das die Eingabe nicht überprüft, eine Seite ohne Berechtigung, ein Schlüssel im Repository. Kein Update von einem Lieferanten wird es beheben. Es spielt keine Rolle, wer den Code geschrieben hat. Egal, ob es zehn Jahre alt ist oder letzte Woche hergestellt wurde, ein Angreifer überprüft nur, ob es funktioniert.

Was ein Leck kosten kann

Bei unzureichender Sicherheit kann die niederländische Datenschutzbehörde eine Geldbuße verhängen. Nach Artikel 83 DSGVO kann sie 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Im Dezember 2025 wurde der HAN mit einer Geldstrafe von 175.000 € belegt. Ein Angreifer hatte 2021 ein Leck in Webform missbraucht. Der AP untersuchte dann die Sicherheit, wie übermäßige Rechte, eingeschränkte Protokollierung und schlecht gesicherte Passwörter.

Ihre Verpflichtung, sich im Rahmen der DSGVO und NIS2 anzustrengen

Die DSGVO und der Cybersecurity Act verlangen keine Perfektion. Sie fragen nach geeigneten Maßnahmen, die Ihren Risiken entsprechen. Artikel 32 DSGVO erwähnt auch ein Verfahren zum Testen, Bewerten und Bewerten von Maßnahmen in regelmäßigen Abständen. Der Cybersecurity Act ist seit dem 15. August 2026 in Kraft und betrifft laut NCSC mehr als 8.000 Organisationen. Artikel 21 erwähnt unter anderem die sichere Entwicklung, die Reaktion auf Schwachstellen und die Sicherheit der Lieferkette. Wenn Sie nicht selbst darunter fallen, kann ein Kunde, der darunter fällt, immer noch einen Beweis verlangen. Ein Code-Scan oder Server-Scan ist kein Gütezeichen. Ein Bericht hilft jedoch zu zeigen, was Sie überprüft haben, was Sie gefunden haben und was Sie gelöst haben. Besonders wenn etwas passiert, ist es wertvoll.

Zeit, Maßnahmen zu ergreifen

1. Überprüfen Sie, welche PHP-, Node.js- und Kernel-Versionen wirklich ausgeführt werden. 2. Patchen und neu starten. 3. Ersetzen Sie Software ohne Support. PHP 8.2 endet am 31. Dezember 2026. 4. Achten Sie auf Anzeichen von Missbrauch. 5. Lassen Sie Ihren eigenen Code überprüfen, einschließlich der alten Teile, die niemand mehr ansieht. 6. Erfassen Sie, was Sie getan haben. Nutzen Sie unseren kostenlosen Selbstcheck als Ausgangspunkt.

Wie Binadit hilft

Mit Binadit Code Scan überprüfen wir den Code Ihrer Website oder Anwendung zu einem Festpreis und ohne Konto. Beim Server-Scan betrachten wir auch die Patch-Ebene und die Konfiguration. Wir gehen mit Ihrem Code sorgfältig um, unterzeichnen eine Geheimhaltungsvereinbarung und jeder Befund wird von einem Menschen überprüft. Sieh dir die Pakete an.

Binadit Code Scan anzeigen Lassen Sie Ihre Website scannen Lassen Sie Ihre Bewerbung scannen Sehen Sie sich den Server-Scan an Kostenloser Selbstcheck Bedingungen