Unmittelbar vor den Kongresswahlen am 3. November müssen US-Wahlbehörden ein eisernes Sicherheitsgesetz brechen: Mitten im vorgeschriebenen Änderungsstopp spielen sie Notfall-Updates ein. Auslöser ist eine der schwersten Schwachstellen der vergangenen Jahre im Fundament des Internets – aufgespürt von Künstlicher Intelligenz. Der Vorfall offenbart die neue Ökonomie des Cyberkriegs und trifft auf einen geschwächten Sicherheitsapparat in Washington.
Operation am offenen Herzen statt Stillstand
Für die IT-Verantwortlichen der US-Wahlbehörden gilt in den 45 Tagen vor einem Urnengang normalerweise ein ungeschriebenes Gesetz: Nichts wird mehr angefasst. Keine Updates, keine neuen Konfigurationen, kein Eingriff, der den sensiblen Betrieb kurz vor der Stimmabgabe gefährden könnte. Doch in der vergangenen Woche sah sich Michael Moore, der oberste IT-Sicherheitschef für die Wahlen im Schlüsselstaat Arizona, gezwungen, dieses Tabu zu brechen. Die „Washington Post“ spricht von einem „rapid thaw“ – einem abrupten Auftauen der eingefrorenen Infrastruktur 1. Quer durch die Vereinigten Staaten mussten Behörden kurz vor dem Wahltag am 3. November ihre Systeme patchen, mitten in einer Phase, in der jede technische Änderung als Hochrisiko gilt 1.
Denn der reguläre Änderungsstopp ist keine bürokratische Schikane, sondern eine Lebensversicherung. In Tausenden US-Landkreisen stammt die Wahlsoftware von unterschiedlichsten Anbietern; ein fehlerhaftes Update in letzter Minute kann dort mehr Chaos anrichten als die Sicherheitslücke, die es schließen soll. Wer diese Sperre aufhebt, wählt bewusst das kleinere von zwei Übeln – weil die Alternative noch gefährlicher wäre.
Der Fehler sitzt im Fundament, nicht in der Fassade
Der Grund für die Hektik trägt den Namen „php2shell“. Am 21. Oktober veröffentlichten die Entwickler der Programmiersprache PHP Notfall-Patches für zwei gravierende Schwachstellen (CVE-2026-109618 und CVE-2026-109619), die auf der zehnstufigen Gefahrenskala CVSS v4 mit einem alarmierenden Wert von 9,2 eingestuft wurden 2. Beide Fehler erlauben die sogenannte entfernte Codeausführung: Angreifer können aus der Ferne eigenen Schadcode einschleusen und die betroffenen Server vollständig unter ihre Kontrolle bringen.
Technisch gesehen handelt es sich um klassische Speicherfehler im tiefsten Kern der Programmiersprache. Bricht PHP einen Vorgang ab – etwa wegen eines Speicherüberlaufs –, wird der interne Zustand nicht sauber gelöscht. Übernimmt derselbe Arbeitsprozess kurz darauf eine neue Anfrage, greift er auf diesen eigentlich freigegebenen Speicherbereich zu („Use-after-free“). Angreifer können diesen Mechanismus nutzen, um sensible Speicherinhalte auszulesen oder eigenen Code auszuführen 3. Die Sicherheitsforscher identifizierten gleich drei solcher Fehlerketten: beim Datei-Upload, in der Fehlerdiagnose sowie im sogenannten Opcode-Cache. Nach Einschätzung des europäischen IT-Notfallteams CERT-EU ist potenziell jede PHP-Version ab Reihe 5 verwundbar 2; Analysen der Sicherheitsfirma Wiz zufolge reicht das Problem mindestens bis zur über zehn Jahre alten Version 5.4 zurück 3.
Das Tückische daran: Die Schwachstelle sitzt nicht in populären Redaktionssystemen wie WordPress, Drupal oder Joomla, sondern eine Etage tiefer – in der Sprache PHP selbst, auf der diese Systeme aufbauen. Selbst simpelste Webanwendungen sind damit angreifbar 3. Während Wiz demonstrierte, wie sich über die erste Fehlerkette Server mit WordPress oder Drupal kapern lassen, erinnert eine zweite Variante fatal an die berüchtigte „Heartbleed“-Lücke von 2014: Sie erlaubt es, Passwörter, Zugangs-Token und kryptografische Schlüssel direkt aus dem Arbeitsspeicher des Webservers abzuschöpfen, ohne überhaupt eigenen Code ausführen zu müssen 3.
Der Maschinen-Fund und die neue Ökonomie des Cyberkriegs
Historisch ist an „php2shell“ jedoch weniger die technische Mechanik als die Art der Entdeckung: Es war ein Triumph der Maschinen. Bereits am 19. August 2026 stießen KI-Systeme der Sicherheitsfirma Wiz auf die ersten Anomalien; nur 48 Stunden später hatten die Forscher funktionierende Angriffsroutinen gegen Drupal und WordPress entwickelt. Nachdem das PHP-Kernteam am 24. August vertraulich informiert worden war, folgten zwei Monate intensiver Geheimarbeit zwischen Entwicklern, Sicherheitsfirmen und großen Cloud-Konzernen, ehe der Patch am 21. Oktober erschien 3. Unabhängig von Wiz spürte auch das Sicherheitsunternehmen Calif die Lücke auf – mithilfe von „GPT-5.6 Sol“, einem speziell auf Cybersicherheit trainierten Modell von OpenAI, während Wiz zusätzlich auf Googles „Gemini 4 Argon“ setzte 2.
Für die Sicherheitsbranche markiert dieser Doppelfund eine Zäsur. „Das verändert die Ökonomie von Entdeckung und Ausnutzung fundamental“, bilanzieren die beteiligten Forscher: Wenn Sprachmodelle in der Lage sind, komplexe Angriffe vollautomatisch an unterschiedlichste Softwareversionen, Serverkonfigurationen und Speicherstrukturen anzupassen, verliert technische Komplexität ihre Wirkung als natürlicher Schutzschild 3. Über ein Jahrzehnt lang hätten diese Fehler unentdeckt im PHP-Code geschlummert, weil das Aufspüren und Ausnutzen für menschliche Spezialisten schlicht zu aufwendig war, betonte auch Raluca Ada Popa, Sicherheitschefin bei Google DeepMind 3.
Entsprechend gewaltig ist nun die Angriffsfläche. PHP treibt Schätzungen zufolge noch immer 70 bis 80 Prozent aller Websites an, deren Server-Sprache bekannt ist 2. Sicherheitsforscher zählten weltweit mehr als 1,3 Millionen direkt über das Internet erreichbare Systeme, die potenziell verwundbar sind; die Spezialsuchmaschine Shodan weist sogar rund 1,9 Millionen Treffer aus. Besonders prekär: Von jenen Servern, die ihre Versionsnummer offenlegen, laufen rund 758.000 auf völlig veralteten PHP-Zweigen, für die es regulär gar keine Sicherheitsupdates mehr gibt – gegenüber nur 272.000 Systemen auf aktiv gepflegten Versionen 2.
Wettlauf gegen die Zeit: Noch wird nur gespäht
Offizielle Entwarnung klingt anders. Zwar teilte die US-Cybersicherheitsbehörde CISA mit, bis zur Veröffentlichung der Patches keine erfolgreichen Angriffe registriert zu haben, warnte jedoch eindringlich vor dem Risiko ungepatchter Server 2. Denn im Netz läuft die Suche nach Opfern längst auf Hochtouren: „Wir sehen eindeutige Belege dafür, dass Angreifer PHP-Anwendungen aktiv abtasten“, warnte Kelly Shortridge vom Cloud-Dienstleister Fastly 2. Bei Schwachstellen dieses Kalibers liege das Zeitfenster zwischen der Bekanntgabe eines Patches und den ersten erfolgreichen Einbrüchen erfahrungsgemäß bei wenigen Stunden bis Tagen 2.
Die westlichen Sicherheitsbehörden schalteten deshalb in den Krisenmodus. Das britische Cyberabwehrzentrum NCSC forderte Administratoren auf, sämtliche PHP-Installationen – ausdrücklich auch aktuelle Versionen – sofort zu inventarisieren, internetfähige Server vorrangig zu patchen oder im Zweifel vorübergehend vom Netz zu nehmen. Wer das Update nicht sofort einspielen könne, müsse die Systeme vorab zwingend auf bereits installierte Hintertüren überprüfen 4. In den USA hatten FBI und CISA zudem schon am 16. Oktober vor einer Welle KI-gestützter Phishing- und SMS-Attacken („Smishing“) gegen Wahlleiter, Kandidaten und Parteien gewarnt: Dank KI seien gefälschte Nachrichten sprachlich kaum noch von echten zu unterscheiden, flankiert von täuschend echten Audio- und Video-Deepfakes. Als Gegenwehr helfen laut den Behörden nur noch phishing-resistente Mehrfaktor-Anmeldungen, lange Passphrasen und die strikte Rückversicherung über einen zweiten Kanal 5.
Rein technisch raten die Experten von Wiz Systemadministratoren dazu, ihre Serverprotokolle bis zum Patch genau auf verräterische Spuren zu prüfen: etwa auf mehrteilige Datenanfragen, die gezielt Speicherfehler provozieren, auf ungewöhnlich große oder korrupte Sitzungs-Cookies (PHPSESSID) sowie auf abrupt abstürzende und neu startende PHP-Prozesse 3.
Ein Generalschlüssel im stillen Rennen
Dass die Nervosität in den US-Wahlämtern so hoch ist, liegt auch an einem zweiten, ähnlich gelagerten Vorfall. Wie der US-Sender NPR berichtete, stießen KI-Werkzeuge der Sicherheitsfirma XBOW jüngst auf eine klaffende Lücke in einer Webanwendung der Election Assistance Commission (EAC) – jener überparteilichen Bundesbehörde, die landesweit für Wahlinformationen und die Zertifizierung von Wahlgeräten zuständig ist. Ein Eindringling hätte darüber nahezu die vollständige Kontrolle über den betroffenen Server erlangen können – „wie ein Generalschlüssel“, sagte XBOW-Chef Federico Kirschbaum. Zwar war das System weder mit Wahlmaschinen noch mit Wählerverzeichnissen gekoppelt, hätte Angreifern aber als ideales Sprungbrett tiefer in das Behördennetz dienen können. Die Lücke wurde rechtzeitig geschlossen; für Kirschbaum ist sie dennoch Beleg für „ein stilles Rennen“ zwischen KI-gestützten Angreifern und Verteidigern 6.
Für die eigentliche Stimmenauszählung am Dienstag bleibt die Gefahr dennoch überschaubar. Das US-Wahlsystem ist extrem dezentral organisiert; Tausende Bezirke nutzen einen Flickenteppich aus unterschiedlicher Hard- und Software – eine Zersplitterung, die Sicherheitsforschern paradoxerweise als bester Schutz vor einem landesweiten Cyber-Sabotageakt gilt 8. Zudem kamen schon bei der Wahl 2024 in über 98 Prozent der Wahlbezirke Systeme zum Einsatz, bei denen entweder direkt auf Papier gewählt wird oder ein überprüfbarer Papierbeleg entsteht 8. Auch die dokumentierten Cyberangriffe der Vergangenheit – das Eindringen russischer Hacker in Wählerregister 2016 oder der Diebstahl von Wählerdaten durch den Iran 2020 – zielten stets auf die Peripherie und das Vertrauen, nie auf die Auszählung selbst; manipulierte Wahlergebnisse gab es nach Erkenntnissen der US-Bundesbehörden nie 8.
Andere Angreifer – und ein geschwächter Wächter in Washington
Gleichwohl unterscheidet sich die aktuelle Bedrohungslage in drei wesentlichen Punkten von den Wahleinmischungen früherer Jahre. Erstens handelt es sich nicht um maßgeschneiderte politische Sabotage: Attackiert wird vielmehr digitale Massenware, auf der die Website eines Provinz-Landkreises ebenso läuft wie das Wahlkampfportal eines Senators. Die „Washington Post“ wertet die Vorfälle daher als Beginn einer neuen Ära automatisierter KI-Breitenangriffe – und nicht als klassische staatliche Desinformationskampagne 1. Zweitens verwischen sich die Spuren: Wer eine generische Softwarelücke ausnutzt, hinterlässt keinen politischen Fingerabdruck wie einst die russischen Trollfabriken. Und drittens verschiebt die Künstliche Intelligenz die Machtbalance in beide Richtungen: Im Fall von „php2shell“ waren es erstmals die KI-Maschinen der Verteidiger, die den Wettlauf gegen die Angreifer gewannen 2 3.
Politisch hochbrisant wird die Lage jedoch durch einen anderen Faktor: Ausgerechnet jetzt ist der wichtigste digitale Schutzschild der US-Regierung massiv geschwächt. Nach Recherchen der Investigativplattform „ProPublica“ hat die für Wahlsicherheit zuständige Bundesbehörde CISA seit 2025 mehr als 1.000 Mitarbeiter verloren – rund ein Drittel ihrer gesamten Belegschaft. Zugleich ist das Vertrauen derart zerrüttet, dass mehrere Bundesstaaten der Behörde in Washington keine vertraulichen Sicherheitsdaten mehr übermitteln 7. Adrian Fontes, der für die Wahlen zuständige Staatssekretär in Arizona, fand dafür drastische Worte: Er achte nicht auf die Reden des Präsidenten, sondern auf die Taten der Regierung – „und was sie getan haben, ist im Grunde, uns abzuschneiden und allein zu lassen“ 7. Geoff Hale, der früher das Wahlteam der CISA leitete und heute beim Center for Democracy and Technology arbeitet, sieht vor allem das Frühwarnsystem beschädigt: Früher habe das Prinzip gegolten, jeden Angriff auf ein einzelnes Wahlsystem sofort national zu analysieren, um alle anderen Wahlbezirke im Land rechtzeitig zu warnen 8.
Ob es bis zum Schließen der Wahllokale am 3. November beim bloßen Ausspähen der Server bleibt, ist ungewiss. Während die CISA bislang keine erfolgreichen Einbrüche meldet, müssen die Wahlleiter vor Ort nun auf eigene Faust entscheiden, ob sie ihre eingefrorenen Systeme für Notfall-Patches antasten. Sollten in den kommenden Tagen Berichte über gehackte Wahl-Websites die Runde machen, wird es vor allem auf eine nüchterne Trennung ankommen: zwischen einem gekaperten Webserver an der Oberfläche – und der Integrität der Stimmzettel im Inneren.
