Palo Alto Networks warnt vor 22 Millionen exponierten PHP-Instanzen nach zwei kritischen Schwachstellen

Zwei kritische Lücken, eine riesige Angriffsfläche

In einem Blogbeitrag vom 21. Oktober 2026 beschrieb Lee Klarich von Palo Alto Networks die beiden PHP-Schwachstellen als erstes Kapitel eines deutlich schnelleren Zyklus von Cyberbedrohungen. Weitere technische Details finden sich laut dem Unternehmen in einem Threat Brief von Unit 42.

Der Umfang macht diesen Fall besonders. Palo Alto Networks weist darauf hin, dass PHP weltweit stark verbreitet ist, Schätzungen zufolge auf mehr als der Hälfte aller Websites. Die exponierte Angriffsfläche beziffert das Unternehmen auf 22 Millionen Instanzen.

Zum Vergleich: Typischerweise lägen die Zahlen im Bereich von Tausenden, heißt es in dem Beitrag. Genannt werden rund 50.000 potenziell verwundbare, exponierte Instanzen bei den jüngsten NetScaler-Schwachstellen und etwa 16.000 exponierte BeyondTrust-Instanzen, die potenziell für CVE-2026-1731 anfällig sind. Weit verbreitete Open-Source-Software bringe eine Angriffsfläche "in einer völlig anderen Größenordnung" mit sich, schreibt das Unternehmen.

Warum Patchen allein nicht genügt

Klarich argumentiert, die neuesten KI-Spitzenmodelle seien äußerst leistungsfähig darin, Schwachstellen in Code zu finden, und würden kritische Probleme künftig schneller zutage fördern als bisher. Das Problem liege laut dem Beitrag im Anschluss: Sobald ein Patch verfügbar ist, analysieren Angreifer ihn per Reverse Engineering, finden die eigentliche Ursache und nehmen sie nahezu in Echtzeit ins Visier.

Patches auf allen Systemen einzuspielen, dauere schlicht zu lange, so das Unternehmen. Es behauptet, Frontier-KI verkürze das Zeitfenster zwischen Patch und Exploit auf Minuten, und bewirbt daher Virtual Patching als Ergänzung zum klassischen Patchen.

Palo Alto Networks gibt an, die neue Funktion Frontier Virtual Patching habe für diese PHP-Schwachstellen bereits vor der öffentlichen Bekanntgabe vorbeugenden Schutz geliefert. Kunden seien zudem durch Advanced Threat Prevention vor Ausnutzung geschützt, verfügbar auf den Next-Generation-Firewalls und in Prisma Access. Frontier Virtual Patching wird in Advanced Threat Prevention Plus angeboten.

Die fünf empfohlenen Schritte

• Open-Source-Inventar prüfen. Organisationen müssen ihre tatsächliche Gefährdung jederzeit kurzfristig einschätzen können. Das Unternehmen verweist auf Attack Surface Management und auf Unit 42 Continuous Frontier AI Defense, das nach eigener Darstellung KI-Modelle in Angreifer-Qualität in die Hände der Verteidiger legt.
• Nach Erreichbarkeit priorisieren. Da sich nicht alles auf einmal patchen lässt, sollten Teams zuerst jene Systeme angehen, die für Angreifer erreichbar sind, sowie die exponierten PHP-Instanzen mit dem unmittelbarsten Risiko. Als Werkzeuge dafür nennt der Beitrag Cortex Xpanse und Exposure Management.
• KI-Implementierungen absichern. Dies steht bei den PHP-Lücken nicht im Mittelpunkt, doch laut dem Beitrag vergrößert der rasche KI-Rollout die Angriffsfläche.
• Angriffe abmildern und Schutzmaßnahmen sicherstellen. Hochpräzise virtuelle Patches über Netzwerk- und Cloud-Sicherheit hinweg verschaffen Teams Zeit, die eigentliche Software sicher zu aktualisieren.
• Security Operations in Echtzeit etablieren. Das Unternehmen erwartet, dass autonome, KI-gesteuerte Angriffe die Angriffszyklen auf Minuten verkürzen. Jedes SOC müsse deshalb bei der mittleren Erkennungszeit (MTTD) und der mittleren Reaktionszeit (MTTR) einstellige Werte erreichen.

Was das für Unternehmen bedeutet

Die zentrale Botschaft des Beitrags lautet, dass die Reaktion auf Schwachstellen keine einmalige Übung mehr sein darf. Die Bewertung der Gefährdung, die Priorisierung nach Erreichbarkeit und das Einspielen von Gegenmaßnahmen müssten, so Klarich, zu einem kontinuierlichen, automatisierten Ablauf werden.

Für Organisationen, die PHP einsetzen, besteht die unmittelbare Aufgabe darin, herauszufinden, welche Instanzen aus dem Internet erreichbar sind, und sie nach Risiko zu ordnen, während die Entwicklungsteams echte Patches vorbereiten. Leser sollten bedenken, dass die Zahlen und die Darstellung der Bedrohung von einem Anbieter stammen, der die empfohlenen Produkte auch verkauft. Die Schätzung von 22 Millionen Instanzen und das Exploit-Fenster von nur wenigen Minuten sind also Behauptungen von Palo Alto Networks selbst.