Das Sicherheitsunternehmen Wiz Research hat am 21. Oktober 2026 eine Reihe kritischer Schwachstellen in der Kern-PHP-Engine offengelegt und gewarnt, dass die Schwachstellen – gemeinsam als PHP2Shell bezeichnet – eine nicht authentifizierte Remotecodeausführung und Speicheroffenlegung im Heartbleed-Stil in der Software ermöglichen, die schätzungsweise 70 Prozent aller Websites antreibt. Das PHP-Projekt veröffentlichte am selben Tag Patches und Wiz fordert sofortige Updates für die enorme installierte Basis im Internet.

PHP ist das Rückgrat eines Großteils des Internets: Es unterstützt WordPress, Joomla, Drupal und MediaWiki, die Software, auf der Wikipedia läuft. Entscheidend ist, dass sich die neu aufgedeckten Fehler in der Kern-Engine von PHP befinden und nicht in einer darauf basierenden Anwendung, was bedeutet, dass Websites auch dann offengelegt werden können, wenn ihr eigener Anwendungscode sicher ist. Weitere Informationen zu dieser Geschichte finden Sie in unserer mehr KI-Geschichten.

Was sind die Schwachstellen?

Laut dem technischen Artikel von Wiz von den Forschern Sagi Tzadik, Shir Tamari, Nir Ohfeld und Tomer Schwartz handelt es sich bei allen offengelegten Fehlern um Probleme mit der Speichersicherheit, die darauf zurückzuführen sind, wie PHP schwerwiegende Fehler während der Anforderungsverarbeitung behandelt – insbesondere Fehler aufgrund von unzureichendem Arbeitsspeicher. Eine abgestürzte Anfrage kann einen beschädigten internen PHP-Status hinterlassen, und eine spätere Anfrage oder ein Worker, der diesen veralteten Zustand wiederverwendet, kann eine Speicheroffenlegung oder Speicherbeschädigung auslösen.

Die Ergebnisse wurden in zwei CVEs mit einem maximalen Schweregrad von CVSS 9,2 gruppiert:

  • CVE-2026-109618 – ein wieder verwendbarer Upload-Progress-Deserializer, den ein Angreifer zur Offenlegung des Prozessspeichers aus der Ferne und, in demonstrierten Ketten, zur vollständigen Codeausführung aus der Ferne nutzen kann. Wiz demonstrierte die nicht authentifizierte Offenlegung des PHP-Worker-Speichers und die Vorauthentifizierung von RCE auf WordPress, Drupal und Joomla.
  • CVE-2026-109619 – ein Backtrace-Use-after-free mit schwerwiegendem Fehler in Kombination mit einer OPcache-Typverwechslung, der nachweislich auch zu einer Remote-Codeausführung vor der Authentifizierung auf Drupal und WordPress führt.

Speicher, den Angreifer lesen können, könnte Passwörter, Authentifizierungstoken, API-Schlüssel und Zertifikate enthalten, die zu anderen Anfragen oder zum Server selbst gehören, sagte Wiz. Jede im letzten Jahrzehnt veröffentlichte PHP-Version – angefangen bei PHP 5.4 – ist von mindestens einer der Schwachstellen betroffen, und das Unternehmen gibt an, dass diese zu den schwerwiegendsten Schwachstellen zählen, die jemals in PHP gefunden wurden.

Wo KI ins Spiel kommt

Die folgenreichste Behauptung im Bericht von Wiz bezieht sich überhaupt nicht auf PHP, sondern darauf, was bahnbrechende KI-Modelle getan haben, um die Entwicklung auszunutzen.

Die zugrunde liegenden Mängel seien schon seit Jahrzehnten vorhanden, schreibt Wiz, aber der Nachweis der Ausnutzbarkeit erfordere „eine außergewöhnlich komplexe Kette von Schritten, die an der Grenze dessen liegt, was menschliche Forscher praktisch erreichen könnten“. Der Exploit musste mehrere Fehler verketten und sich durch wiederholte Tests und Debugging an das Speicherlayout jedes Ziels anpassen.

Frontier-KI-Modelle, so das Unternehmen, hätten diese Hürde erheblich verringert – „einen seit langem bestehenden Fehler in einen Exploit verwandelt“ – und es dem Team von Wiz ermöglicht, funktionierende Exploits über mehrere Anwendungen hinweg innerhalb von Stunden statt Wochen zu entwickeln und anzupassen.

„Da die Zeit und das Fachwissen, die für diese Arbeit erforderlich sind, abnehmen, stellt die Komplexität möglicherweise keine sinnvolle Barriere mehr dar und verändert die Art und Weise, wie wir in der Praxis definieren, was anfällig ist“, schreiben die Forscher.

Ein Wendepunkt im KI-Zeitalter?

Wiz stellt PHP2Shell explizit in Zusammenhang mit zwei früheren Wendepunkten in der Web-Sicherheit: Heartbleed im Jahr 2014, das die Fragilität der gemeinsamen Infrastruktur zur Sicherung des Internets aufdeckte, und Log4Shell im Jahr 2021, das offenbarte, wie tief eingebettete Softwareabhängigkeiten weitreichende Gefährdung verursachen. Das Unternehmen argumentiert, dass PHP2Shell einen ähnlichen Wendepunkt markieren könnte – dieses Mal zeigt es, wie KI die praktische Ausnutzbarkeit seit langem bekannter Schwachstellen verändert.

Dieses Framing ist über PHP hinaus wichtig. Theoretische Schwachstellen, die sicher außer Reichweite waren, weil ihre Ausnutzung zu schwierig, zu langsam oder zu spezialisiert war, könnten jetzt für gut ausgestattete Angreifer mit KI-Werkzeugen erreichbar sein – ein Wandel mit offensichtlichen Auswirkungen auf Verteidigungsbudgets, Patch-Zyklen und Offenlegungsfristen in der gesamten Softwarebranche.

Eine koordinierte branchenübergreifende Lösung

Die Offenlegung erfolgte koordiniert. Wiz dankte dem PHP-Team und OpenAI für ihre Arbeit bei der Erkennung, Koordination und Patch-Verifizierung und wies darauf hin, dass sowohl OpenAI als auch PHP ihre eigenen technischen Berichte über den Verlauf und den Offenlegungsprozess der Schwachstelle veröffentlicht haben.

Eine branchenübergreifende Gruppe – darunter Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft und Vercel – hat Leitlinien und sofort einsatzbereite Abhilfemaßnahmen für Kunden vorbereitet, die nicht sofort patchen können. Cloudflare gab am 21. Oktober separat bekannt, dass es für seine Kunden WAF-Schutzmaßnahmen gegen die PHP-Schwachstellen implementiert hat.

Was Websitebesitzer tun sollten

Der Rat von Wiz ist eindeutig: Patchen Sie sofort. Das PHP-Projekt hat am 21. Oktober 2026 Korrekturen für die Speichersicherheitslücken veröffentlicht und jede unterstützte PHP-Bereitstellung sollte so schnell wie möglich aktualisiert werden.

Organisationen, die nicht sofort patchen können, sollten die von ihren CDN-, Hosting- oder WAF-Anbietern veröffentlichten Abhilfemaßnahmen anwenden, von denen einige vom ersten Tag an Regeln ausgeliefert haben, die auf die Exploit-Ketten abzielen. Administratoren von WordPress-, Drupal- und Joomla-Flotten sollten dies als vorrangigen Patch-Zyklus betrachten: Wiz demonstrierte die Remote-Codeausführung vor der Authentifizierung auf allen drei Plattformen, und die anfälligen Codepfade bestehen unabhängig davon, wie gut die darüber liegenden Anwendungen gewartet werden.

Die tiefere Lektion könnte die sein, die Wiz selbst gezogen hat: Wenn KI monatelanges Exploit-Engineering in Stunden komprimieren kann, hat sich die Arbeitsdefinition der Branche von „praktisch ausnutzbar“ – und damit auch die Bedeutung verantwortungsvoller Patch-Zeitpläne – gerade geändert.

---

Bleib vorne bei KI

Die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.

Mehr KI-Nachrichten lesen →