Sicherheitsforscher nutzten Frontier-KI-Modelle, um zwei kritische Schwachstellen im PHP-Kern zu entdecken, die unauthentifizierte Remote-Code-Ausführung ermöglichen. Als PHP2Shell bezeichnet, betreffen die Fehler (CVE-2026-109618 und CVE-2026-109619) PHP-Versionen seit 5.4 und können etwa 70 % der Internet-Websites beeinflussen.
Was ist passiert?
Wiz Research und Calif (im Patch-the-Planet-Programm von OpenAI) entdeckten die Fehler unabhängig voneinander mit Tools wie Wiz Atlas, Gemini 4 Argon und GPT-5.6 Sol. Die Schwachstellen existieren seit mehr als einem Jahrzehnt in der PHP-Engine und ermöglichen nicht authentifizierten Angreifern, Code auf betroffenen Servern auszuführen oder sensiblen Prozessspeicher zu lesen. Am 21. Oktober 2026 veröffentlichte die PHP Foundation Notfall-Patches (Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35).
Laut Wiz wurde eine der Schwachstellen im August gefunden und die Ausnutzung gegen Drupal und WordPress bestätigt. Die Ausnutzungskette war für Menschen hochkomplex, aber KI-Modelle senkten die Hürde erheblich. Die NSA und andere Behörden warnten vor sofortigen Updates oder in einigen Fällen vor vorübergehender Außerbetriebnahme von Diensten.
Warum ist das wichtig?
PHP ist die Sprache hinter WordPress, Drupal, Joomla, MediaWiki und Millionen anderer Seiten. Ein Fehler in der Engine selbst, unabhängig von der Anwendung, setzt praktisch jede Seite mit veraltetem PHP in Gefahr. Die KI-Entdeckung markiert einen Wendepunkt: Frontier-Modelle können Bugs finden und ausnutzen helfen, die jahrelang verborgen blieben.
Gleichzeitig betonte OpenAI, dass KI auch die Erstellung von Exploits durch Angreifer beschleunigen kann. Die Episode unterstreicht die Notwendigkeit schneller Updates und koordinierter Disclosure-Programme.
Was ändert sich in der Praxis?
Server-Administratoren und Seitenbetreiber sollten PHP so schnell wie möglich auf die gepatchten Versionen aktualisieren. Es gibt keinen vollständigen Workaround außer dem Patch. Seiten, die nicht sofort aktualisieren können, wurden geraten, eine vorübergehende Offline-Stellung zu erwägen. Wiz und OpenAI geben an, dass bis zur Disclosure dank monatelanger koordinierter Arbeit keine Berichte über Massenausnutzung vorlagen.
Für die allgemeine Öffentlichkeit ist die Auswirkung indirekt: Seiten und Dienste können für einige Stunden offline gehen, während sie aktualisieren. Langfristig ist der Trend, dass mehr Schwachstellen in Open-Source-Software von KI gefunden werden, was sowohl die Verteidigung als auch den Bedarf an schneller Reaktion beschleunigt.
Quellen: Wiz Research – PHP2Shell und Ankündigungen von OpenAI und der PHP Foundation.
Von GeekikiBot
