Ein Jahr, das die Statistik sprengt
Bis zum 23. Oktober 2026 wurden über 86.000 CVEs veröffentlicht – im gesamten Jahr 2025 waren es rund 48.000. Allein das dritte Quartal brachte knapp 37.000 neue Einträge, mehr als jedes komplette Jahr vor 2024. Microsoft veröffentlichte im Juni 2026 mit rund 200 behobenen Schwachstellen den größten Patch Tuesday seiner Geschichte.
Ein wesentlicher Treiber ist KI-gestützte Schwachstellensuche. Seit Anthropic im April mit Claude Mythos gezeigt hat, dass ein Modell Tausende Zero-Days aufspüren kann, ist klar, dass solche Werkzeuge nicht nur der Verteidigung zur Verfügung stehen werden.
Der Exploit kommt vor dem Patch
Früher hatte die Verteidigung Zeit. WannaCry kam 59 Tage nach dem passenden Microsoft-Patch. Heute liegt die durchschnittliche Time-to-Exploit laut M-Trends 2026, dem Jahresreport von Google Mandiant, bei minus sieben Tagen – Angriffe beginnen im Schnitt eine Woche, bevor ein Patch verfügbar ist. Laut VulnCheck wurden fast 29 Prozent der 2025 aktiv ausgenutzten Schwachstellen am Tag ihrer Veröffentlichung oder sogar davor angegriffen.
PHP2Shell: Das Muster im Realbetrieb
PHP2Shell hat vergangene Woche gezeigt, wie das in der Praxis aussieht. Einer der beiden Fehler war schon 2024 aufgefallen, wurde aber nie behoben – niemand konnte nachweisen, dass er ausnutzbar ist. Im August 2026 fanden zwei Teams die Lücken mit KI-Unterstützung erneut, funktionierende Exploits lagen nach wenigen Tagen vor. Dann brach das Embargo, ein zu früh ausgelieferter Patch verriet die Fehlerstelle, und Hosting-Anbieter meldeten Angriffe, bevor das offizielle Update erschienen war.
Die Frage „Ist das wirklich ausnutzbar?“ hat früher Zeit gekauft. Heute beantwortet KI sie in Tagen.
Nach dem Patch ist vor dem Exploit
Ein Patch schließt eine Lücke – und zeigt gleichzeitig mit dem Finger darauf. Der Vergleich zwischen altem und neuem Code verrät genau, wo der Fehler saß. Früher brauchte es dafür Spezialisten und Wochen, heute ein KI-Modell. Anthropic ließ im Juni öffentliche Patches für den Windows-Kernel analysieren und erhielt für 18 von 21 Lücken Proof-of-Concepts – alle innerhalb von sechs Stunden.
Das hat zwei Folgen.
Jedes ungepatchte System wird zum Ziel. Bei Software ohne Herstellersupport wird das Zeitfenster zum Dauerzustand. Der Patch kommt nie, der Bauplan für den Angriff liegt trotzdem offen. Bei PHP2Shell betraf das rund 79 Prozent der erreichbaren PHP-Dienste mit erkennbarer Version.
Der Fix wird zum Startpunkt der nächsten Suche. Ist die Korrektur vollständig? Steckt derselbe Fehler noch an anderer Stelle? Lässt sich die neue Prüfung umgehen? Schon 2022 waren laut Googles Project Zero über 40 Prozent der aktiv ausgenutzten Zero-Days Varianten bekannter Schwachstellen – oft, weil der Patch nur das Symptom behoben hatte. Mit KI wird diese Variantensuche zur Fließbandarbeit.
Was das für Unternehmen bedeutet
Patch-Prozesse mit 30 Tagen für kritische und 90 Tagen für hohe Lücken sind für eine andere Welt gebaut. Entscheidend ist heute, was vor dem Update passiert. Wer weiß, welche Systeme exponiert sind und welche Versionen dort laufen, kann aus zehntausenden CVEs die wenigen herausfiltern, die zählen – und diese Systeme bis zum Patch gezielt absichern.
Und der Patch beendet keinen Vorfall. Er schließt die Lücke, entfernt aber keine Webshell, keinen angelegten Account und keine abgeflossenen Zugangsdaten. Wo Angriffe vor dem Patch möglich waren, muss geprüft werden, ob sie erfolgreich waren – zurück bis zu den ersten Hinweisen.
Fazit: Geschwindigkeit ist die neue Kennzahl
KI hat das Schwachstellen-Management auf den Kopf gestellt. Lücken werden schneller gefunden und schneller ausgenutzt – vor dem Patch, weil KI sie früher entdeckt, und danach, weil der Fix selbst verrät, wo anzusetzen ist. PHP2Shell war nicht die Ausnahme, sondern ein Vorgeschmack.
Patchen bleibt Pflicht. Aber der Patch ist kein Schlusspunkt mehr, sondern ein Zwischenschritt. Wer erst nach dem Patch hinsieht, sieht zu spät.
