Der Fund zweier gravierender Sicherheitslücken im Kern der Programmiersprache PHP hat eine weltweite Welle automatisierter Angriffe ausgelöst, die in der IT-Sicherheitsbranche bereits unter dem Begriff „Black October“ diskutiert wird. Die Schwachstellen werden unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 geführt und verfügen über einen kritischen CVSS-Score von jeweils 9.2. Da sie unauthentifizierten Angreifern das Ausführen von Schadcode aus der Ferne ermöglichen, ist die Bedrohungslage akut. Schätzungen zufolge bilden PHP-basierte Architekturen das Fundament von rund 70 Prozent aller Websites weltweit, weshalb Millionen von Installationen potenziell angreifbar wurden.
Bemerkenswert ist insbesondere die Art und Weise, wie die Schwachstellen aufgedeckt wurden. Sie traten nicht im Zuge konventioneller manueller Audits zutage, sondern wurden im Rahmen von OpenAIs Sicherheitsinitiative „Patch the Planet“ identifiziert. Das Forscherteam Calif nutzte das KI-Modell GPT-5.6 Sol, um den Quellcode automatisiert zu analysieren. Nahezu parallel dazu entdeckte das Cloud-Sicherheitsunternehmen Wiz dieselben Fehlerstellen, ebenfalls mithilfe eigener, KI-gestützter Analysewerkzeuge. Dieser Doppelbefund demonstriert, dass moderne Reasoning-Modelle mittlerweile imstande sind, selbst jahrzehntealten C- und PHP-Code mit einer Tiefe zu durchleuchten, die menschliche Prüfer über Jahre hinweg übersehen hatten.
Das koordinierte Vorgehen zur Behebung der Sicherheitslücken geriet jedoch vorzeitig ins Wanken. Noch bevor die offiziellen Sicherheitsupdates der PHP-Entwickler weltweit vollständig verteilt werden konnten, sickerten technische Details zu den Schwachstellen an die Öffentlichkeit durch. Dies führte zu einer sofortigen Eskalation: Autonome Angriffssysteme und bösartige Botnetze begannen in Echtzeit damit, das weltweite Netz nach verwundbaren Instanzen abzusuchen. Was als Vorzeigeprojekt für KI-gestützte Fehlerbehebung begann, verwandelte sich binnen weniger Stunden in eine akute Bedrohungslage für Serverbetreiber weltweit.
Das ganze Ausmaß der Offensive machte Matthew Prince, der CEO des Sicherheitsdienstleisters Cloudflare, öffentlich. Nach Angaben von Prince verzeichnete das globale Cloudflare-Netzwerk bereits zehn Stunden vor dem offiziellen Patch-Termin Tausende automatisierte Exploit-Versuche, die offensichtlich auf den vorab durchgesickerten Informationen basierten. Innerhalb von zwei weiteren Stunden stieg diese Zahl auf Hunderttausende, bevor kurz darauf Millionen automatisierter Angriffsversuche pro Tag auf die Infrastruktur einprasselten. Die Daten belegen, mit welcher beispiellosen Geschwindigkeit Exploit-Mechanismen heute ausgerollt werden können.
Der Vorfall offenbart ein strukturelles Dilemma im Zeitalter generativer KI: die Dual-Use-Problematik der automatisierten Codeanalyse. Während defensive Werkzeuge wie GPT-5.6 Sol Schwachstellen in historischem Code in Rekordzeit aufspüren, verschärft dies gleichzeitig die Verwundbarkeit der Betreiber. Denn Maintainer von Open-Source-Projekten und Administratoren in Unternehmen können mit dem Tempo der KI-gestützten Ausnutzung kaum Schritt halten. Wenn zwischen der automatisierten Entdeckung und der böswilligen Bewaffnung der Schwachstellen nur noch Stunden liegen, bricht das traditionelle Patch-Modell zusammen.
In der Sicherheitscommunity wird der „Black October“ daher als Zäsur wahrgenommen. Der Fall zeigt deutlich, dass die traditionelle Koordination zwischen Entdeckern, Software-Maintainern und Endanwendern den Anforderungen autonom agierender Bedrohungsakteure nicht mehr gewachsen ist. Künftig werden sich Verteidiger gezwungen sehen, ebenfalls auf vollautomatisierte Patch- und Absicherungssysteme zu setzen. Andernfalls wird die Asymmetrie zwischen rasanter Schwachstellenfindung und zögerlicher Absicherung kritischer Webdienste zu einem dauerhaften Risiko für das gesamte Internet.