Black October? Was stimmt und was du heute tun kannst

Gerade geht ein Text herum, den viele weitergeleitet bekommen: „Something Big Is Happening“ von Matt Shumer. Die Botschaft: Schwärme von KI-Agenten greifen das Internet an, schick das allen, die du kennst.

Ich habe mir die Kernaussagen angesehen. Kurz gesagt: Die Lage ist ernst. Der Text ist lauter als die Fakten.

Was belegt ist

PHP2Shell. Zwei Lücken in PHP, der Software hinter einem großen Teil aller Webseiten, Schweregrad 9.2 von 10. Wer sie ausnutzt, kann ohne Anmeldung eigenen Code auf dem Server ausführen. Die Updates kamen am 21. Oktober. Gefunden haben die Lücken Forscher von Wiz zusammen mit Calif und OpenAI, mit KI-gestützten Werkzeugen, gemeldet schon im August. (Recorded Future)

Amazon hat in seinen Honeypots, also Server, die nur als Köder für Angreifer dastehen, schon am 17. Oktober einen ersten Versuch gesehen. Vier Tage vor der Veröffentlichung. Inzwischen spricht Amazon von breiter Ausnutzung, Cloudflare von einem starken Anstieg der Angriffe. Laut Help Net Security zeigt ein funktionierender Exploit, dass eine einzige Anfrage ohne Anmeldung reicht. Einen bestätigten erfolgreichen Einbruch nennt aber bisher keiner der Berichte, die ich gelesen habe. Auch Amazons Fund vom 17. Oktober traf einen Köder-Server. (The Register, Techzine, Help Net Security)

Behörden gehen vom Netz. Deutschland, die Niederlande und weitere Länder haben vorsorglich Webseiten abgeschaltet, Wikimedia einen Teil seiner Systeme. In Deutschland waren laut Digitalministerium keine Vorfälle bekannt. Das Abschalten war Vorsicht, kein Einbruch. (CNBC)

Ein Angreifer, über 100 Firmen. Laut Reuters und dem Forscher Snorre Fagerland hat ein einzelner Angreifer mit KI-Agenten auf der Plattform Cairn die Webseiten von über 100 Firmen geknackt, darunter Deere und SharkNinja. Kosten: rund 5.000 Dollar, also etwa 50 Dollar pro erfolgreichem Einbruch. Wie viele Daten abgeflossen sind, ist unklar. Deere sieht keine Hinweise auf sensible Daten. (TNW)

Banken sperren KI-Agenten aus. JPMorgan lässt fremde KI-Agenten nicht mehr in Kundenkonten. Wer seine Zugangsdaten einem Agenten gibt, trägt laut Jamie Dimon das Risiko selbst. (Cybernews)

Was ich nicht bestätigen konnte

• Dass die Zahl „die Hälfte der Server ist zu alt für das Update“ von Cisco stammt. Eine ähnliche Zahl gibt es aber, dazu gleich mehr.
• Das Zitat, Bankmanager fänden die Lage „horrifying“.
• Weitere Zahlen aus dem Text (Lateinamerika, Südkorea, Japan) habe ich nicht nachgeprüft. Deshalb lasse ich sie weg.

Die Hälfte zu alt? Zahlen mit Vorsicht

Eine Shodan-Auswertung, auf die sich der Sicherheitsdienst CybelAngel beruft: Von rund 1,5 Millionen Servern, die ihre PHP-Version offen anzeigen, laufen 59 Prozent (883.717) auf einem Zweig, für den es kein offizielles Update gibt. Die „Hälfte“ aus dem Text ist also nicht aus der Luft gegriffen. (CybelAngel)

Nur zählen solche Scanner Versionsnummern, keine Lücken. Linux-Distributionen wie Ubuntu bauen den Fix in ihre eigenen Pakete ein und lassen die alte Versionsnummer stehen. Ein Server, den ich betreue, meldet „PHP 8.3.6“. Das klingt Jahre alt. Im Paket steckt aber der Patch für genau diese beiden Lücken, eingespielt am Morgen nach der Veröffentlichung. Ein Scanner zählt ihn trotzdem als verwundbar. Die echte Zahl ist also niedriger. Wie viel, weiß niemand genau.

Für PHP 7.4, 8.0 und 8.1 gibt es nur minimale Korrekturen im Quellcode, gedacht für Leute, die PHP selbst bauen. Wer bei einem Hoster auf so einer Version sitzt, kann damit nichts anfangen.

Was am Text nicht passt

„Black October“, „schick das allen“, Bargeld und Vorräte zu Hause: Das ist Alarm. Dabei schreibt Shumer selbst, dass bisher kein erfolgreicher Einbruch über die PHP-Lücke bestätigt ist.

Der Rat, kleine Webseiten zu meiden, ist gut gemeint, aber im Alltag nicht umsetzbar. Und die US-Einlagensicherung hilft hier niemandem. In Deutschland und der EU sind Einlagen gesetzlich bis 100.000 Euro pro Kunde und Bank geschützt.

Was du heute tun kannst

1. Updates installieren. Handy, Rechner, Browser und Router. Nie ein „Update“ aus einem Pop-up, einer SMS oder einer Mail.
2. Passwortmanager nutzen. Jedes Konto bekommt ein eigenes Passwort. iPhone und Android haben einen eingebaut.
3. Zwei-Faktor-Anmeldung einschalten, zuerst für E-Mail und Bank. Die E-Mail ist der Generalschlüssel zu allem anderen.
4. Bei Anrufen „von der Bank“ auflegen und selbst die Nummer auf der Karte wählen. Keine Bank fragt nach TAN oder Passwort.
5. Keine Bankdaten an KI-Assistenten oder fremde Apps geben, auch wenn es bequem wäre.
6. Kein Geld abheben. Panik ist genau das, worauf Betrüger setzen.

Wer selbst eine Webseite mit PHP betreibt: Version prüfen und auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 aktualisieren. Amazon empfiehlt, die Logs ab dem 17. Oktober durchzusehen, nicht erst ab der Veröffentlichung. Für 8.1 und älter gibt es kein fertiges Update: umsteigen oder beim Hoster bzw. der Distribution nachfragen. Unter Ubuntu und Debian bleibt die alte Versionsnummer stehen, ob der Fix drin ist, zeigt apt changelog php8.3-common (mit deiner Version). Wer hinter Cloudflare liegt, bekommt Firewall-Regeln gegen die bekannten Angriffswege, auch im kostenlosen Tarif. Das ersetzt das Update nicht.

Schneller, nicht unaufhaltsam

Angreifer sind schneller geworden, weil KI ihnen Arbeit abnimmt. Das ist real. Die Antwort darauf ist aber nicht Panik, sondern das Langweilige: Updates, eigene Passwörter, zweiter Faktor.

Die ersten 48 Stunden dieser Woche gibt es als Video: The 48 Hours, Folge 1.