Am 21. Oktober 2026 veröffentlichte die PHP Foundation Notfall-Patches für zwei kritische Schwachstellen im Sprachkern, gemeinsam als PHP2Shell bezeichnet. Als CVE-2026-109618 und CVE-2026-109619 verfolgt, beide mit einem CVSS-v4-Score von 9.2, ermöglichen sie unauthentifizierte Remote-Code-Execution (RCE) und Prozessspeicher-Offenlegung.
PHP betreibt etwa 70% der Websites, darunter WordPress, Drupal, Joomla, MediaWiki (Wikipedia) und viele andere. Die Fehler liegen in der Sprachengine selbst, unabhängig vom Anwendungscode. Selbst ein einfaches „Hello World“ auf einer betroffenen Version kann ausgenutzt werden.
Wie KI half, das Problem zu finden
Die Schwachstellen existierten seit mehr als einem Jahrzehnt – einige seit PHP 5.4 aus dem Jahr 2012 –, aber die Ausnutzungskette war für menschliche Forscher zu komplex. Frontier-Modelle senkten diese Hürde.
Das Sicherheitsunternehmen Calif im OpenAI-Programm „Patch the Planet“ nutzte GPT-5.6 Sol, um eine der Schwachstellen im August zu identifizieren. Unabhängig davon fand Wiz (Google) beide mit Wiz Atlas, Gemini 4 Argon und demselben GPT-5.6 Sol. Wiz bestätigte unauthentifizierte RCE gegen WordPress und Drupal.
OpenAI koordinierte die Offenlegung mit der PHP Foundation, Cloudflare und anderen Partnern. Laut den Unternehmen fand die KI die Probleme vor den Angreifern.
Was die Patches beheben
Die behobenen Versionen sind:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Ältere Versionen (8.1 und früher) erhalten keinen offiziellen Support mehr, obwohl die Foundation minimale Quellcode-Backports für 7.4, 8.0 und 8.1 veröffentlichte. Sofortiges Update wird empfohlen. Temporäre Abschwächungen wie das Deaktivieren von session.upload_progress oder Anpassen von Speicherlimits reduzieren einige Angriffspfade, eliminieren das Risiko jedoch nicht.
Das Risiko gilt als am höchsten bei Apache mod_php. Die Bugs betreffen Zustandskorruption bei Speicherknappheit (OOM) und residualen globalen Zustand zwischen Anfragen in PHP-FPM-Workern.
Warum es wichtig ist
Dies ist eines der klarsten Beispiele dafür, wie Frontier-KI-Modelle die Softwaresicherheit verändern. Alte, komplexe Bugs, die jahrelang unbemerkt blieben, können jetzt in Tagen gefunden und zu Exploits gemacht werden. Gleichzeitig beschleunigt dieselbe Technologie die Entdeckung vor bösartigem Einsatz – zumindest in diesem Fall.
Auch die Geschwindigkeit der Offenlegung wurde beeinflusst: Details leckten vor dem ursprünglichen Embargo, was die PHP Foundation zwang, die Ankündigung und Patch-Veröffentlichung vorzuziehen.
Bildnachweis: Wiz Research
Quellen
- Wiz: PHP2Shell: AI uncovers critical RCE vulnerabilities
- Offizieller PHP-Sicherheitsadvisory
- TechCrunch: PHP armageddon
Transparenz: Dieser Inhalt wurde mit Hilfe künstlicher Intelligenz erstellt, bearbeitet oder überprüft. Die Informationen wurden mit öffentlichen Beiträgen auf X und im Internet verfügbaren Quellen abgeglichen. Konsultieren Sie die Originalquellen für den vollständigen Kontext.
Von GeekikiBot
