KI findet Lücke in siebzig Prozent des Internets: Was davon müssen Sie diese Woche patchen?

[warm] Frank, heute stehen drei Schlagzeilen auf meinem Zettel. Alle drei enden auf Shell. Und eine davon sagt: Künstliche Intelligenz findet eine Lücke in siebzig Prozent des Internets.

Das klingt nach Weltuntergang.

Es klingt so. Ob es einer ist, messen wir nach.

Vorher Nachgetragen. Und zwar in eigener Sache.

Vor drei Wochen haben wir angekündigt: Nächste Woche fragen wir, ob KI der Jobkiller Nummer eins ist. Die Folge kam nicht. Es gab zwei Wochen Pause. Das Thema kommt, mit frischen Zahlen. Heute geht die Sicherheitslage vor, weil sie diese Woche Ihren Server betrifft.

Und das Produkthaftungsgesetz aus der letzten Folge?

Ist beschlossen. Der Bundestag am achten Oktober, der Bundesrat hat es am sechzehnten passieren lassen. Es tritt am neunten Dezember in Kraft. An unserem Befund ändert das nichts: Geschützt sind Menschen, nicht Ihr Unternehmen.

Dann zur Schlagzeile. Wer sagt das mit den siebzig Prozent?

Die Sicherheitsfirma Wiz. Deren Forscher haben die Lücke gemeldet. Der Titel des Blogbeitrags, übersetzt: KI deckt kritische Lücken auf, die siebzig Prozent des Internets betreffen.

Fangen wir mit dem an, was stimmt.

Die Lücken sind echt. Es sind zwei, im Kern der Programmiersprache PHP. Das PHP-Projekt stuft beide als kritisch ein. In der gefährlichsten Konstellation reicht eine Anfrage ohne Passwort, um den Angriff in Gang zu setzen, bevor die eigentliche Website überhaupt startet. Einfach ist der Angriff trotzdem nicht, das PHP-Projekt stuft seine Komplexität als hoch ein. Die Updates gibt es seit dem einundzwanzigsten Oktober.

Und die siebzig Prozent?

Die stammen von einem Dienst namens W-Drei-Techs. Wörtlich: PHP wird von neunundsechzig Komma zwei Prozent aller Websites verwendet, deren Programmiersprache wir kennen.

Verwendet. Nicht verwundbar.

Genau das ist der Sprung. Aus siebzig Prozent nutzen PHP wird siebzig Prozent des Internets sind betroffen. Wer gepatcht hat, zählt trotzdem mit.

Gibt es eine Zahl für die tatsächlich verwundbaren?

Es gibt eine Quelle, den Internet-Scanner Censys. Und die wird dreimal verschieden zitiert: vierunddreißig, knapp siebenunddreißig und über einundvierzig Millionen. Gezählt werden Dienste, nicht Server. Und Fortinet schreibt dazu selbst: Darunter können Systeme sein, die bereits gepatcht sind.

Wie kann ein gepatchtes System als verwundbar zählen?

Weil der Scanner die Versionsnummer liest. Ubuntu zum Beispiel hat den Fehler behoben, meldet aber weiter die alte Nummer. Darauf kommen wir am Lagerfeuer zurück.

Und die Angriffe? Ich habe von Millionen gelesen.

Die Zahl kommt vom Chef von Cloudflare, einer Firma, die Schutz davor verkauft. Tausende Versuche schon in den zehn Stunden vor der Veröffentlichung, Millionen am Tag danach. Versuche. Laut Fachpresse hat Google bisher keinen Einbruch in großem Stil bestätigt, hält es aber für möglich, dass Angriffe in begrenztem Umfang schon begonnen haben. Und Sophos hatte einen Erfolg gemeldet und die Meldung wieder zurückgezogen.

Aber die amerikanische Behörde CISA hat die Lücken doch auf ihre Liste der ausgenutzten Schwachstellen gesetzt.

Am sechsundzwanzigsten Oktober, ja. Und jetzt lesen Sie, was CISA unter ausgenutzt versteht: Dazu zählen auch versuchte Angriffe. Selbst wenn Schadcode in einer Falle erfolgreich läuft, einem sogenannten Honeypot, gilt das dort nur als Versuch. Die Liste sagt also: Es wird angegriffen. Sie sagt nicht: Es wurde eingebrochen.

Und die KI in der Überschrift?

Das sagen die Finder. Wiz schreibt, KI-Modelle hätten es möglich gemacht, funktionierende Angriffe in Stunden an verschiedene Anwendungen anzupassen. Prüfen kann ich das nicht. Ich kann nur sagen, wer es sagt. Wiz verkauft Sicherheitssoftware. Und unter den Firmen, denen Wiz für die Entdeckung dankt, ist OpenAI.

Ein KI-Anbieter findet mit KI eine Lücke, und die Schlagzeile heißt: KI findet Lücke.

Daran verdienen beide. Das macht die Lücke nicht kleiner, aber die Überschrift größer.

Dann das Urteil.

Belegt, aber irreführend dargestellt. Die Lücke ist echt und schwer, das Update ist Pflicht. Siebzig Prozent des Internets sind nicht betroffen, siebzig Prozent benutzen PHP.

Und die zwei anderen Schlagzeilen?

Dasselbe Muster. Die Node-Shell ist ein Fehler in einer Bibliothek von Google zum Entpacken von Daten. Node ist nur eines von mehreren Programmen, die sie mitbringen. Node selbst stuft ihn als hoch ein, Google als kritisch. Ausgenutzt: nicht gemeldet. Und die Git-Lücke dieses Monats ist eine Lücke in GitLab. Das Git-Projekt selbst hat seit Juli letzten Jahres keine Sicherheitswarnung veröffentlicht.

Ich ordne das trotzdem schärfer ein als Sie. Das ist der Moment, an dem KI die Sicherheit kippt. Zwischen Veröffentlichung und Angriff liegen keine Wochen mehr, sondern Minuten.

Da widerspreche ich Ihnen. Minuten bis zum Versuch, ja. Aber Stand Freitag war kein erfolgreicher Einbruch in großem Stil bestätigt. Laut Fachpresse hat sogar das Team von Sophos trotz KI mehr Aufwand gebraucht als erwartet, um einen funktionierenden Angriff zu bauen. Und wer verdient an Ihrer Lesart? Jeder, der Schutz davor verkauft.

[thoughtful] Den Punkt mit dem Erfolg gebe ich Ihnen, mit einer Einschränkung: Google und Mandiant haben öffentliche Angriffe geprüft, und einige funktionieren gegen PHP in der Standardeinrichtung mit Apache. Und hören Sie noch einmal auf Ihre eigene Zahl: Tausende Versuche, zehn Stunden bevor die Lücke öffentlich war.

Das stimmt. Das ist die beunruhigendste Zahl in der ganzen Geschichte.

Dann ist meine Einordnung: Ob KI hier den Durchbruch gebracht hat, weiß niemand. Aber wer mit dem Update wartet, bis ein Einbruch bestätigt ist, wartet zu lange.

Dann Nachgefragt. Die naheliegende Frage: Ich habe eine WordPress-Seite und spiele jede Woche Updates ein. Bin ich sicher?

Nicht durch diese Updates. Der Fehler steckt in PHP selbst, also unter WordPress. Das muss Ihr Hoster aktualisieren, nicht Ihr Webdesigner. Und ein eingespieltes Update wirkt erst, wenn die laufenden PHP-Prozesse neu gestartet sind. Fragen Sie also nach beidem: nach der Version und nach dem Neustart.

Die kritische Frage: Es kursieren Notlösungen. Reichen die?

Nein, sagt das PHP-Projekt selbst. Die Notlösungen machen eine Installation nicht sicher, nur das Update ist vollständig. Und eine davon klingt verkehrt herum: Die Speichergrenze wird nicht gesenkt, sondern aufgehoben. Sie deckt nur eine der beiden Lücken ab. Wer da aus dem Gedächtnis handelt, macht es falsch. Wir haben diese Notlösungen selbst gesetzt, auf dem System aus unserem Praxisfall. Als Brücke für ein paar Tage, nicht als Ersatz.

Und die unbequeme Frage geht an uns beide. Wir sind ein KI-Podcast. Gefällt uns die Schlagzeile, KI findet die Lücke, nicht ein bisschen zu gut?

Ja. Und ich sage auch, warum. Wir verdienen unser Geld mit Beratung zu KI. Eine Geschichte, in der KI das Internet aufschließt, macht unser Thema größer. Deshalb haben wir sie zuerst geprüft. Und deshalb sagen wir: Das behaupten die Finder, nicht wir.

Dann ans Lagerfeuer.

Diesmal erzähle ich unseren eigenen Fall. Einundzwanzigster Oktober, nachmittags. Wir betreiben einen Mailserver mit der Software Mailcow. Darin läuft PHP.

Und das Update kam schnell.

Sehr schnell. Am selben Nachmittag gab es ein neues Paket. Auf dem Etikett stand die gepatchte Version. Wir haben es nicht einfach eingespielt, sondern vorher gefragt: Welche Version steckt wirklich drin?

[curious] Und?

Die alte. Die verwundbare. Für knapp zwei Stunden trug das Paket die neue Nummer und enthielt die alte Software. Dann wurde das Paket still ausgetauscht. Erst danach hat ein anderer Nutzer den Fehler am selben Abend öffentlich gemeldet.

Wer in diesen zwei Stunden aktualisiert hat, fühlte sich sicher.

Und war es nicht. Bei Ubuntu ist es genau umgekehrt: gepatcht, aber mit der alten Nummer. Die Versionsnummer ist ein Etikett. Sie ist keine Messung.

Und Sie haben das gemerkt, weil Sie nachgemessen haben.

Mit einem einzigen Befehl, der die Version direkt aus dem Programm fragt. Das dauert zehn Sekunden.

Und dann?

Bis zum offiziellen Update von Mailcow liefen die Notlösungen. Vier Tage später haben wir aktualisiert und wieder geprüft, welche Version wirklich läuft.

Drei Schritte für diese Woche. Ohne Budget.

Erstens: Hoster. Fragen Sie schriftlich, welche PHP-Version auf Ihrer Website läuft und seit wann. Eine Antwort wie, wir kümmern uns, ist keine Version.

Zweitens: Nachmessen statt Etikett lesen. Lassen Sie sich von Ihrer IT die Version zeigen, die tatsächlich läuft, nicht die im Ticket. Und fragen Sie bei Node, ob Ihre Version überhaupt noch Updates bekommt.

Drittens: Wer GitLab, Gitea oder Forgejo selbst betreibt, prüft heute die Version. Allein von GitLab stehen fünf Lücken auf der Liste der Behörde, dazu eine von Gitea. Und wenn Sie gar nicht wissen, ob in Ihrem Haus so etwas läuft, dann ist das die eigentliche Aufgabe dieser Woche: eine Liste aller Systeme, die aus dem Internet erreichbar sind. Und neben jedem ein Name, der es verantwortet.

Dann die Prognose der Woche, Kriterien im Mess-Sheet.

Ende Juni nächsten Jahres läuft laut W-Drei-Techs noch mindestens ein Viertel aller PHP-Websites auf Version sieben oder älter. Also auf Versionen, für die es längst keine regulären Updates mehr gibt.

Heute ist es gut ein Drittel. Fällt der Anteil unter ein Viertel, lag Frank falsch.

Bleibt die Titelfrage. Hat KI eine Lücke in siebzig Prozent des Internets gefunden? Die Lücke ist echt. Siebzig Prozent benutzen PHP, verwundbar ist, wer nicht aktualisiert. Und bestätigt sind bisher Versuche, aber kein Einbruch in großem Stil.

Sicherheit beginnt dort, wo man dem Etikett nicht mehr glaubt.