Speicherfehler, die über ein Jahrzehnt im PHP-Kern schlummerten, wurden mit Hilfe von Frontier-Modellen zu funktionierenden Fernangriffsketten. Am 21. Oktober 2026 legte Wiz Research die als PHP2Shell zusammengefasste Schwachstellengruppe offen, und das PHP-Team veröffentlichte noch am selben Tag Korrekturen. Die Fehler laufen unter CVE-2026-109618 und CVE-2026-109619, mit einem höchsten Schweregrad von 9.2. Fast jede PHP-Version der letzten zehn Jahre ist von mindestens einem betroffen, zurück bis zu Version 5.4.
Der Fehler steckt in der Sprache, nicht im Website-Code
PHP trägt rund 70 Prozent aller Websites weltweit, darunter WordPress, Drupal, Joomla und MediaWiki, die Software hinter Wikipedia. Das Problem liegt darin, wie PHP fatale Fehler behandelt, insbesondere Speichererschöpfung: Eine unerwartet endende Anfrage kann korrupten internen Zustand hinterlassen, und eine spätere Anfrage, die diesen Zustand wiederverwendet, kann Prozessspeicher lesen oder sogar beliebigen Code ausführen. Wiz demonstrierte unauthentifizierte Remote-Code-Ausführung auf aktuellen WordPress-, Drupal- und Joomla-Images sowie das Auslesen von Server-Prozessspeicher ohne Code-Ausführung – Speicher, der Passwörter, Tokens und Zertifikate anderer Anfragen enthalten kann. Kurz: Auch makelloser Website-Code bleibt exponiert, solange das PHP darunter ungepatcht ist.
KI senkte die Ausnutzungs-Hürde, nicht nur die Entdeckungszeit
Der anfällige Code existierte über ein Jahrzehnt. Dass er nie großflächig ausgenutzt wurde, lag auch daran, dass das Verketten von Speicherfehlern zu einem stabilen Exploit extrem mühsam ist und für jede Version und Speicheranordnung angepasst werden muss. Wiz zufolge kamen neben eigenen Werkzeugen Frontier-Modelle wie Gemini 4 Argon und GPT-5.6 Sol für Entdeckung, Exploit-Entwicklung, Erkennung und Patch-Prüfung zum Einsatz; auch OpenAIs Initiative Patch the Planet war an Entdeckung und Koordination vor der Offenlegung beteiligt. Dass ein einzelner Forscher in etwa einer Woche schaffte, wofür früher ein Weltklasse-Team Monate brauchte, ist die eigentliche Warnung: Die Gefährlichkeit eines alten Fehlers lässt sich nicht mehr nur daran messen, wie schwer er auszunutzen ist – Modelle drücken diese Kosten.
Für Betreiber zählt jetzt eine Aufgabe
Das Upgrade auf eine offiziell korrigierte PHP-Version ist das einzige vollständige Gegenmittel, und jeder Aufschub erhöht die Chance, dass aus öffentlichen Details Allzweck-Werkzeuge werden. Umgebungen, die noch nicht aktualisieren können, sollten auf die vor der Offenlegung vorbereiteten Gegenmaßnahmen von Cloud- und Hosting-Anbietern zurückgreifen, auf ungewöhnlich große Upload-Anfragen gefolgt von Speicherlimit-Fehlern und gehäuften 500-Antworten oder häufige PHP-Worker-Neustarts achten und das Upgrade so bald wie möglich terminieren. Eine Komponente, die ein Jahrzehnt niemand angefasst hat, ist nicht automatisch sicher – diesmal war es PHP, nächstes Mal kann es jedes gemeinsame Fundament des Webs treffen.
