Die Nachwehen von PHP2Shell weiten sich weiter aus. Am 22. Oktober berichteten mehrere Sicherheitsmedien: Bei der PHP-Kernlücke (CVE-2026-109618, CVE-2026-109619), die OpenAI als eines der folgenreichsten Sicherheitsereignisse der jüngeren Zeit bezeichnete, hatten Angreifer bereits ein viertägiges Ausnutzungsfenster, bevor am 21. Oktober die offiziellen Patches erschienen. Die Schwachstelle steckt in der Speicherverwaltung des PHP-Interpreters, erlaubt unauthentifizierte Remote-Code-Ausführung und wurde mit CVSS 4.0 mit 9,2 bewertet — praktisch jede PHP-Version im Webeinsatz ist betroffen.
Zeitachse: Von KI-gestützter Schwachstellensuche zum globalen Notfall
Der Entdeckungsprozess trägt selbst die Handschrift der KI: Am 11. August fand Calif im Rahmen von OpenAIs Programm Patch the Planet mit GPT-5.6 Sol eine der kritischen Schwachstellen; am 24. August meldete Wiz beide Lücken unabhängig — entdeckt mit Gemini 4 Argon, GPT-5.6 Sol und dem eigenen Wiz-Atlas-Tool; am 18. September meldete auch OpenAIs eigenes Sicherheitsteam sie unabhängig. Eigentlich hätte das PHP-Projekt am 22. Oktober koordiniert offengelegt, doch Details sickerten bereits am 20. Oktober durch, sodass die vier Patch-Releases (8.5.12, 8.4.27, 8.3.36, 8.2.35) auf den 21. Oktober vorgezogen wurden. Und Amazons Threat Intelligence hatte bereits am 17. Oktober Ausnutzungsversuche in einem Honeypot registriert — die Angreifer waren vier Tage vor dem Patch da. In den ersten 24 Stunden nach der Offenlegung zählte Imperva 480.000 Angriffsanfragen und 122.000 Angriffssitzungen gegen fast 22.000 Websites in 103 Ländern; die US-NSA, das britische NCSC und das Weiße Haus forderten daraufhin Bundesbehörden und Betreiber kritischer Infrastrukturen auf, ihre Risiken sofort zu bewerten.
Wie groß ist der Schaden: Es geht nicht nur um WordPress
Der am leichtesten missverstandene Punkt: Dies ist eine Schwachstelle der PHP-Laufzeitumgebung selbst, kein Bug eines Plugins oder einer Anwendung. WordPress, Drupal und Joomla sind nur die sichtbarsten Opfer. Wiz zufolge ist jede Version von PHP 5.4 bis 8.5.11 von mindestens einer der Lücken betroffen; das PHP-Projekt stuft Apaches mod_php als Umgebung mit dem höchsten Risiko ein, weil ein demonstrierter Angriff noch vor Ausführung jeglichen Anwendungscodes mit einer einzigen unauthentifizierten Anfrage gelingt. Neben der Codeausführung kann die Lücke Serverspeicher im Stil von Heartbleed auslesen — Passwörter, Token und API-Schlüssel können abfließen.
Was jetzt zu tun ist
Die Haltung des PHP-Projekts ist eindeutig: Ein Upgrade ist die einzige sichere Wahl — wer nur die Anwendung aktualisiert, aber die PHP-Laufzeit nicht, bleibt verwundbar. Wer nicht sofort upgraden kann, sollte zunächst Eindämmungsmaßnahmen ergreifen: memory_limit auf -1 setzen (dort, wo Anwendungen es nicht überschreiben können), post_max_size niedrig halten, session.upload_progress.enabled deaktivieren und unter PHP 8.5 fatal_error_backtraces auf 0 setzen — danach alle Worker-Prozesse neu starten. Diese Maßnahmen blockieren jedoch nur bekannte Angriffspfade und sind kein Ersatz für das Upgrade.
PHP2Shell wird zu einem Präzedenzfall: Erstmals verwandelte KI-gestützte Schwachstellensuche eine seit über einem Jahrzehnt verborgene Tiefenschwachstelle in eine reproduzierbare Angriffskette — OpenAI wie Wiz setzten jeweils mehr als ein Modell ein, um sie auszugraben. Diesmal betrug der Zeitvorsprung der Angreifer vier Tage, beim nächsten Mal könnte er kürzer sein. Für Websitebetreiber und Administratoren bleibt nur eine Schlussfolgerung: Die PHP-Laufzeit gehört aktualisiert, und zwar jetzt, nicht später.
