PHP2Shell: KI macht eine alte Schwachstelle zur akuten Gefahr

Was passiert ist

PHP ist eine Programmiersprache, die auf Webservern läuft. Unter anderem nutzen WordPress, Drupal und Joomla diese Grundlage. Unter dem Namen PHP2Shell wurden zwei kritische Sicherheitslücken bekannt: CVE-2026-109618 und CVE-2026-109619. Unter passenden Bedingungen können Angreifer darüber eigenen Programmcode auf einem Server ausführen, ohne sich vorher anzumelden. Die Fehler stecken in PHP selbst; eine ansonsten sorgfältig gepflegte Website kann deshalb trotzdem betroffen sein. [1, 3]

Das PHP-Team veröffentlichte am 21. Oktober 2026 Sicherheitsupdates und fordert zum sofortigen Aktualisieren auf. Das ist kein bloß theoretischer Verdacht: Für Apache mit mod_php wurde ein Angriff demonstriert, der bereits vor dem eigentlichen Website-Code greift. Laut PHP müssen auch Betreiber anderer PHP-Webserver-Konfigurationen handeln. Stand dieses Artikels: 22. Oktober 2026. [1]

Warum dieser Fall auch eine KI-Geschichte ist

Laut OpenAI identifizierte die Sicherheitsfirma Calif im Programm Patch the Planet mit GPT-5.6 Sol eine kritische Schwachstelle. Wiz berichtet von unabhängigen Funden und dem Einsatz von Wiz Atlas, Gemini 4 Argon und GPT-5.6 Sol. Die Werkzeuge halfen den Forschern, komplizierte Fehler zu untersuchen und funktionierende Angriffe zu entwickeln. Das sind Berichte der beteiligten Organisationen, kein eigener Modellvergleich von Simply Understood. [3, 4]

Die Geschichte beginnt allerdings nicht erst mit einem KI-Fund. Die PHP Foundation schreibt, dass ein Entwickler bereits 2024 erste Anzeichen des Speicherproblems erkannte. Ein konkreter Weg zur vollständigen Codeausführung war damals noch nicht bekannt; schwierige Abwägungen und fehlende Ressourcen verzögerten die Lösung. Im August 2026 machte ein Bericht von Calif die Tragweite deutlich. Menschen entwickelten und prüften die Korrekturen. „Die KI fand etwas, das niemand jemals gesehen hatte“ wäre daher eine irreführende Zusammenfassung. [2]

Was daran gefährlich ist

Vereinfacht geht es darum, wie PHP nach schweren Fehlern mit seinem Arbeitsspeicher umgeht. In bestimmten Situationen können unvollständige oder bereits ungültige interne Daten weiterverwendet werden. Aus solchen Speicherfehlern lassen sich unter passenden Bedingungen Angriffe bauen. [1, 2]

Wiz demonstrierte unter anderem Codeausführung auf Testinstallationen von WordPress, Drupal und Joomla sowie das Auslesen sensibler Daten aus dem Speicher. Das belegt mögliche Folgen, aber keinen Angriff auf jede Website dieser Systeme. Auch eine verwundbare Installation ist nicht automatisch bereits gehackt. Die kanadische Cybersicherheitsbehörde meldete in ihrer Warnung vom 21. Oktober noch keine identifizierte aktive Ausnutzung; dieser zeitgebundene Befund ist keine Entwarnung für heute. [3, 5]

Was Website-Betreiber jetzt prüfen sollten

Wer eine Firmenwebsite, einen Shop oder einen Blog betreibt, sollte den Hoster oder die zuständige IT fragen: Nutzt unser Webserver PHP, und sind die Korrekturen für beide genannten CVEs auf allen betroffenen Instanzen aktiv? Ein Update von WordPress oder einzelner Erweiterungen allein beantwortet diese Frage nicht, weil die Lücke in der darunterliegenden PHP-Laufzeit steckt. [1, 3]

Die am 21. Oktober veröffentlichten korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Linux-Anbieter können die Reparatur auch in ihre eigenen Pakete übernehmen; die nackte Versionsnummer reicht bei solchen Rückportierungen nicht als Nachweis. Für PHP 8.1 und älter gibt es keine regulären Updates des PHP-Projekts mehr. Anbieter können eigene Korrekturen liefern; das muss konkret bestätigt werden. [1]

Wenn ein Update nicht sofort möglich ist, empfiehlt die kanadische Behörde, öffentlich erreichbare betroffene Anwendungen bis zur Reparatur gegebenenfalls vom öffentlichen Netz zu isolieren. PHP betont: Vorläufige Schutzmaßnahmen reduzieren einzelne Angriffswege, ersetzen aber das Update nicht. Zusätzlich sollten Verantwortliche nach Anzeichen einer möglichen Kompromittierung suchen. Die konkrete Umsetzung gehört zum zuständigen Betriebsteam. [1, 5]

Was das für normale Internetnutzer bedeutet

Die hier beschriebenen Updates betreffen die PHP-Software auf Webservern. Wer eine Website lediglich besucht, kann deren Server nicht selbst reparieren. Wer dagegen einen eigenen Webauftritt hat – auch ohne selbst zu programmieren –, kann die Aktualisierung beim Dienstleister einfordern. [1]

Unsere Einordnung: Der PHP-Fall zeigt beide Seiten derselben Entwicklung. KI kann Verteidigern helfen, lange verborgene Angriffsmöglichkeiten aufzudecken. Dieselben Fähigkeiten können auch die Arbeit von Angreifern beschleunigen. Entscheidend bleibt deshalb, ob aus einem Fund zügig eine geprüfte Reparatur wird und ob sie tatsächlich auf den betroffenen Servern ankommt. Die PHP Foundation macht zugleich deutlich, dass dafür erfahrene Menschen, klare Entscheidungen und dauerhaft finanzierte Wartung nötig sind. [2, 4]