Sicherheitsforscher haben die Entdeckung zweier kritischer Schwachstellen in der PHP-Programmiersprache bekannt gegeben, die laut Berichten des Forschungsunternehmens Wiz die Grundlage für etwa 70 % aller Websites weltweit bildet. Die beiden Schwachstellen wurden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 registriert und sind gemeinsam als PHP2Shell bekannt; sie erreichten einen Schweregrad von 9,2 auf der CVSS v4.0-Skala.
Das Unternehmen Calif.io konnte eine der Schwachstellen mithilfe des Modells GPT-5.6 Sol von OpenAI identifizieren, während Wiz beide Schwachstellen unabhängig voneinander mithilfe des Tools Wiz Atlas in Zusammenarbeit mit dem Modell Gemini 4 Argon von Google und dem Modell GPT-5.6 Sol entdeckte. Berichte von Cloudflare wiesen zudem auf die Beteiligung anderer Sicherheitsakteure wie Quarkslab bei der Aufdeckung dieser Programmierfehler hin, die seit über einem Jahrzehnt in verschiedenen PHP-Versionen existierten.
Seit einem Jahrzehnt schlummernde Sicherheitsmängel
Die Wurzel des Problems liegt in der Art und Weise, wie die PHP-Engine Fehler verarbeitet; wenn eine Programmanforderung fehlschlägt oder der verfügbare Speicher erschöpft ist, kann die Engine Referenzen auf bereits freigegebenen Speicher hinterlassen (Use-After-Free). Die nächste Anforderung, die vom selben Worker verarbeitet wird, könnte diese Referenzen als gültig behandeln.
Untersuchungen haben gezeigt, dass Angreifer dieses Verhalten in Verbindung mit Typverwechslungsfehlern ausnutzen können, um auf sensible Daten zuzugreifen oder bösartigen Programmcode remote auf bekannten Plattformen wie WordPress, Drupal und Joomla auszuführen, ohne dass eine Anmeldung erforderlich ist. Die Forscher bestätigten, dass einige der betroffenen Codes bis auf PHP 5.4 zurückgehen. Diese Mängel blieben all die Jahre verborgen, da es schwierig war, mehrere Schwachstellen miteinander zu kombinieren, um einen erfolgreichen Angriff durchzuführen – eine entscheidende Rolle, die die künstliche Intelligenz bei der Beschleunigung des Entdeckungsprozesses innerhalb weniger Tage spielte.
Reaktionsgeschwindigkeit und Veröffentlichung von Korrekturen
Der Prozess der Fehlerbehebung begann nach der Entdeckung der ersten Schwachstelle durch Wiz am 19. August und der Bestätigung, dass sie in den darauffolgenden Tagen die Ausführung von Programmcode auf Drupal und dann auf WordPress ermöglichte. Das PHP-Sicherheitsteam wurde am 24. August offiziell informiert, woraufhin am 21. Oktober nach intensiver Abstimmung mit großen Unternehmen wie Cloudflare, Google Cloud, AWS, Microsoft und Akamai die korrigierten Versionen veröffentlicht wurden.
Was ändert sich praktisch für Entwickler und Systemadministratoren?
PHP hat die sicheren Versionen veröffentlicht, auf die Entwicklungsteams und Systemadministratoren ihre Server sofort aktualisieren müssen: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Bei der Verwendung von Linux-Distributionen oder verwalteten Hosting-Anbietern wird empfohlen, die Anbieter zu kontaktieren, um die Implementierung von Backports zu überprüfen.
Darüber hinaus hat OpenAI einen proaktiven Rahmen in fünf Phasen für den Umgang mit durch KI aufgedeckten Schwachstellen vorgeschlagen, der die Verifizierung, fortgeschrittene Tests durch Modelle, die schrittweise Verteilung von Daten an Distributoren und Dienstanbieter bis hin zu Regierungsbehörden und kritischer Infrastruktur umfasst. Das Unternehmen stellte zudem ein Tool zur lokalen Überprüfung von PHP-Versionen bereit, um das Vorhandensein anfälliger Versionen zu prüfen, wobei darauf hingewiesen wurde, dass Schutzmaßnahmen wie Web Application Firewalls (WAF) lediglich eine vorübergehende Verteidigungsschicht darstellen und keinesfalls das tatsächliche Update des Programmcodes auf den Servern ersetzen.