#155 - Die Schwachstellen-Flut, Teil 1: Der Staat schaltet seine eigenen Websites ab. Eine Lücke im Motor hinter sieben von zehn Websites – und Anthropics Sicherheitsvize sagt: Es wird noch schlimmer

Episode von Das KI-Kochbuch mit Malcolm Werchota von Malcolm Werchota · 26. Oktober 2026 · 1 h 06 min

Stellt euch vor, ihr arbeitet für eine Regierung, und eure Aufgabe ist, dass Menschen ihre Behördenwege online erledigen können. Und dann trefft ihr am Mittwoch, den 21. Oktober, eine Entscheidung, die mehrere Länder zur selben Zeit treffen: Wir schalten unsere eigene Website ab. Nicht weil wir angegriffen wurden, sondern weil wir wissen, dass man es könnte.

Teil 1 von 2 der Schwachstellen-Flut. Eine Lücke im PHP-Motor, der hinter rund sieben von zehn Websites mit bekannter Serversprache läuft. Gefunden mit KI, ausnutzbar aus der Ferne, ohne Passwort. Die Niederlande, Offenbach, Saarbrücken, Finnland, Frankreich und New South Wales nehmen vorsorglich Seiten vom Netz. Und Anthropics stellvertretender Sicherheitschef sagt: Es wird noch schlimmer.

In dieser Folge:

🚨 Der Staat macht die Tür zu (00:56) — die Niederlande nehmen staatliche Websites vorsorglich vom Netz, sogar die Seiten, die alle anderen warnen sollten. In Offenbach sind das Bewerbungssystem und die Vergabeplattform einen ganzen Arbeitstag weg. Und dann stellt euch denselben Moment in eurer Firma vor: Der Vertrieb braucht das Kundenportal, die IT hat es abgeschaltet, und keiner weiß, wie lange.

🏨 Ihr wollt doch nur ein Zimmer buchen (09:18) — Couch, Booking, ein Familienhotel mit Sauna. Was hinter dem Buchungsknopf passiert, was der PHP-Motor eigentlich ist, und warum das kein Problem von Hans mit dem Restaurant ums Eck ist, sondern eines für sehr viele Firmen auf der ganzen Welt.

🕵️ Der Fremde hinter der Rezeption (15:53) — Remote Code Execution, erklärt an einer Hotelrezeption: Jemand von außen führt Befehle auf eurem Webserver aus, ohne Konto und ohne Passwort. Der Schaden hängt davon ab, wie viel Macht ihr euren Webdiensten gegeben habt, und in Zeiten von API und MCP ist das sehr viel.

🔍 Der Fehler war da. Der Beweis hat alles verändert (24:31) — erste Hinweise auf das Speicherproblem gab es schon 2024 in einer externen Sicherheitsprüfung. Neu ist, dass KI heute den Beweis liefert, dass man die Lücke wirklich ausnutzen kann. OpenAI mit „Patch the Planet“ und unabhängig davon das Cloud-Sicherheitsunternehmen Wiz.

🔧 Die Reparatur ist veröffentlicht. Eure Firma noch nicht (33:33) — wir haben unsere eigenen KI-Agenten auf unsere Infrastruktur losgelassen, und es war ein Schlag ins Gesicht. Dazu Finnland (Valtori), französische Präfekturen und New South Wales, die vorsorglich abschalten, obwohl noch niemand angegriffen wurde.

🏭 Unsere echten Systeme sind SAP und Microsoft (40:48) — „Die Website ist ja nur Marketing.“ Für die Personalabteilung nicht: Bewerbungen, Zeugnisse, Telefonnummern, Gehaltsrahmen. Und während euer Team PHP prüft, kommen schon die nächsten Meldungen, zu Node.js und GitLab.

⏳ Warum er sagt: Es wird erst noch schlimmer (45:43) — Jason Clintons Post vom 22. Oktober: Sicherheitsverantwortliche sollen zum Vorstand gehen, nicht für mehr Lizenzen, sondern für die Grundlagen. Warum man Code nicht einfach in ein Chatfenster wirft, und was eine abgeschottete Forschungsumgebung ist.

☕ Montag in der Früh (54:15) — drei Gespräche mit eurer IT, ohne Fachbegriffe: Wer betreibt eure wichtigste Website eigentlich? Wer darf um drei in der Früh den Knopf drücken? Und wie läuft der Betrieb, während repariert wird?

🧭 Was sich diese Woche verändert hat (60:40) — von außen sah es aus wie ein peinlicher Ausfall. Von innen war es die verantwortungsvollste Entscheidung, die man treffen konnte. Danach der ganze Song.

🧵 Der rote Faden — die Lücke ist nicht neu. Neu ist die Geschwindigkeit, mit der KI sie findet und beweist, auf beiden Seiten. Teil 2 (#156, Donnerstag) geht hinter die Türen der IT: Wer repariert jetzt eigentlich die Firma?

Geht am Montag zu eurer IT und stellt die drei Fragen: Wer betreibt unsere wichtigste Website, wer darf sie nachts abschalten, und wie arbeiten wir weiter, während repariert wird?

Klarstellungen zur Aufnahme:

• „70 Prozent“ beziehungsweise „drei Viertel aller Websites“: Laut W3Techs nutzen rund 69 % der Websites mit bekannter serverseitiger Sprache PHP. Betroffen sind nur nicht aktualisierte Versionen.

• Gefunden hat die Lücke Ryan Austin von der Sicherheitsfirma Calif, mit OpenAIs GPT-5.6 Sol im Rahmen von „Patch the Planet“. Jason Clinton ist stellvertretender Sicherheitschef (Deputy CISO) bei Anthropic.

• Was die Geheimdienste mit der Lücke gemacht haben, ist reine Spekulation, ein Gedankenspiel und keine berichtete Tatsache.

Quellen: php.net und GitHub-Security-Advisories; OpenAI („Patch the Planet“), Calif; Wiz; W3Techs; NCSC Niederlande; Stadt Offenbach; Stadt Saarbrücken; Valtori (Finnland); Präfekturen (Frankreich); NSW Government (22.10.2026); UK Parliament; Node.js- und GitLab-Sicherheitsmeldungen; Jason D. Clinton auf X (22.10.2026). Offenlegung: Malcolm ist Anthropic Claude Ambassador.

📱 Schreib Malcolm auf WhatsApp/Telegram/Signal: +43 676 6144 904

🌐 werchota.ai

Das KI-Kochbuch — KI für Menschen, nicht für Roboter. Bleib neugierig. Bleib menschlich.

Weitere Episoden von „Das KI-Kochbuch mit Malcolm Werchota“

Über den Podcast

Malcolm Werchotas KI-Kochbuch ist der Ort, wo künstliche Intelligenz auf authentische Business-Transformation trifft. Bekannt für seinen direkten Stil und seine Bereitschaft, KI live in Aktion zu zeigen – sogar während Präsentationen – hilft Malcolm Organisationen zu verstehen, dass es bei KI…

Das KI-Kochbuch mit Malcolm Werchota

#155 - Die Schwachstellen-Flut, Teil 1: Der Staat schaltet seine eigenen Websites ab. Eine Lücke im Motor hinter sieben von zehn Websites – und Anthropics Sicherheitsvize sagt: Es wird noch schlimmer

Weitere Episoden von „Das KI-Kochbuch mit Malcolm Werchota“

Über den Podcast

Ähnliche Episoden