News
Cyber-Woche im Ausnahmezustand: PHP2Shell, eMudhra, Railway und LiteLLM
Eine Häufung, die kein Zufall sein dürfte
Der Entwickler Drew Silcock sortiert in seinem Blog die Sicherheitsvorfälle der letzten Tage und fragt: Ist das jetzt der Normalzustand? Seine Kernthese: Weil LLMs aus einem Patch-Hinweis in kürzester Zeit einen funktionierenden Exploit bauen, ist die Spanne zwischen „Da gibt es eine kritische Lücke" und „Angriffe laufen automatisiert" von Wochen auf Stunden geschrumpft.
Die Vorfälle im Überblick
- PHP2Shell: Zwei Remote-Code-Execution-Lücken im PHP-Kern (CVSS 10.0), von zwei Teams mit Frontier-Modellen gefunden. Eine davon war bereits 2024 in einem Audit aufgetaucht, galt aber als nicht ausnutzbar. Durch vorzeitig geleakte Infos und Fixes lief die Ausnutzung schon vor dem offiziellen Patch.
- eMudhra: Mozilla sperrte acht Zwischenzertifikate der indischen Zertifizierungsstelle, deren private Schlüssel trivial schwach waren. Die Firma steigt aus dem TLS-Geschäft aus. Laut Scott Helme konnte Claude die Schlüssel mit einem einzigen Prompt rekonstruieren.
- Railway: Angreifer griffen verschlüsselte Umgebungsvariablen ab, womöglich gezielt gegen Anbieter von KI-Inferenz.
- GitLab: Zwei weitere CVSS-10-Lücken durch Integer-Überläufe beim Parsen von Regex-Ausdrücken, laut Autor ohne Hinweis auf KI-Funde.
- LiteLLM: Erneut eine kompromittierte Version auf PyPI und in Docker-Images.
Einordnung
Ob KI die Sicherheitslage wirklich umkrempelt, ist umstritten: LLMs produzieren auch viel wirkungslosen „Exploit-Slop". Silcock hält dagegen: Es reicht ein funktionierender Exploit unter Tausenden schlechten. Sein Fazit: Wer Patches ankündigt, muss davon ausgehen, dass der Exploit praktisch sofort kursiert.