Zwei kritische PHP‑Lücken erlauben unauthentifizierte Remote‑Code‑Execution. Patch die PHP‑Runtime sofort.
In Kürze
- Zwei CVEs (CVE‑2026‑109618/109619), CVSS 9.2
- PHP‑Runtime updaten und alle Worker neu starten
- Leistungsstarke KI‑Modelle halfen bei der Findung
Zwei schwere PHP‑Lücken erlauben Remote‑Code‑Execution — KI half bei der Suche
Forscher haben zwei schwere Sicherheitslücken im PHP‑Interpreter gefunden, der Schätzungen zufolge rund 70 % aller Websites antreibt. Die Schwachstellen tragen die IDs CVE‑2026‑109618 und CVE‑2026‑109619, wurden mit 9,2 (CVSS v4.0) als kritisch eingestuft und erlauben unauthentifizierte Remote Code Execution — also das Ausführen von beliebigem Code aus der Ferne, ohne Anmeldung.
Patches: PHP fordert sofortiges Update und Neustart der Worker
PHP veröffentlichte am 21. Oktober Sicherheitsupdates für die Linien 8.5.12, 8.4.27, 8.3.36 und 8.2.35 und forderte alle Nutzer zum sofortigen Update der PHP‑Laufzeit auf. Wichtig: Nur die Anwendung (etwa WordPress‑Plugins) zu aktualisieren reicht nicht — die PHP‑Runtime selbst muss gepatcht und alle PHP‑Worker müssen neu gestartet werden, damit die Fixes greifen.
Wie die Fehler gefunden wurden — KI im Spiel
Laut OpenAI meldete die Sicherheitsfirma Calif einen Fehler mithilfe von GPT‑5.6 Sol im Rahmen von OpenAIs „Patch the Planet“‑Programm. Die Firma Wiz meldete beide Lücken unabhängig, unter Einsatz eigener Tools sowie Google‑Modell Gemini 4 Argon und ebenfalls GPT‑5.6 Sol. Wiz demonstrierte die Ausnutzbarkeit der Fehler auf verbreiteten CMS wie WordPress, Drupal und Joomla.
Wiz berichtet weiter, dass mindestens eine der beiden Schwachstellen in PHP‑Versionen der vergangenen Dekade steckt — zurück bis zur Version 5.4. Die Exploit‑Kette sei komplex und für Menschen schwer zusammenzusetzen gewesen; leistungsfähige LLMs (sogenannte „frontier models“) hätten die Hürde zur Findung solcher Ketten deutlich reduziert.
Zeitlinie, Leak und frühe Angriffe
Eine koordinierte Offenlegung war ursprünglich für den 22. Oktober geplant, aber CVE‑Nummern tauchten bereits am 20. Oktober in Foren auf. Daraufhin veröffentlichte PHP die Patches einen Tag früher, am 21. Oktober. Der Distributionsanbieter Chainguard stellte gepatchte Container‑Images Stunden vorab online; die PHP‑Foundation übte Kritik, Chainguards CEO verteidigte den Schritt mit Verweisen auf aktive Angriffe.
Amazon beobachtete Exploit‑Versuche bereits ab dem 17. Oktober in eigenen Honeypots. Nach der offiziellen Ankündigung meldete Cloudflare „Millionen“ Versuchsanfragen im Netzwerk.
OpenAIs Vorschlag für den Umgang mit KI‑entdeckten Fehlern
OpenAI hat eine fünfstufige Reaktion vorgeschlagen für breit wirkende, von KI geholte Schwachstellen:
- Den Fehler bestätigen und patchen — inklusive Tests gegen frontier‑Modelle;
- Betroffenen Organisationen ausreichend Zeit zum Patchen geben;
- Mit Behörden koordinieren;
- Updates über Produkte hinweg abstimmen;
- Eine verständliche Anleitung veröffentlichen.
OpenAI teilt zudem mit, dass sie bereits ähnliche, bedeutende Lücken gefunden hätten und erwartet, dass solche Entdeckungen in den kommenden Monaten zunehmen.
Warum das relevant ist
Die Kombination aus schwerer, weit verbreiteter PHP‑Verwundbarkeit und leistungsfähigen KI‑Modellen erhöht das Risiko, dass Schwachstellen schneller gefunden und praktisch nutzbar gemacht werden — ein Szenario, das in der Community teils als „PHP2Shell“ bezeichnet wird. Zeitgleich gab es Berichte, dass OpenAI interne Probleme mit Coding‑Agenten hatte, die Sicherheitskontrollen beeinflusst haben sollen.
Konkreter Rat für Betreiber:innen
Wenn du PHP betreibst (zum Beispiel für WordPress‑Seiten):
- Update sofort die PHP‑Runtime auf eine der gepatchten Versionen (8.5.12, 8.4.27, 8.3.36, 8.2.35) und starte alle PHP‑Worker neu.
- Prüfe außerdem, ob deine Distribution oder Container‑Images bereits gepatcht sind und überwache Zugriffs‑Logs auf ungewohnte Requests — ältere PHP‑Versionen sollten besonders geprüft werden.
Quellen
- Quelle: OpenAI / PHP Foundation
- Der ursprüngliche Artikel wurde hier veröffentlicht
- Dieser Artikel wurde im Podcast KI-Briefing-Daily behandelt. Die Folge kannst du hier anhören.
