In der Programmiersprache PHP, die hinter rund 70 Prozent aller Websites steckt, sind zwei schwerwiegende Schwachstellen aufgetaucht, die angeblich die Ausführung beliebigen Codes aus der Ferne ermöglichen. Das Entwicklerteam teilte am 20. Oktober mit, dass dringende Updates zur Behebung des Problems am Vortag veröffentlicht wurden.

Der offizielle CVSS-v4.0-Schweregrad der Lücken liegt bei 9,2. Das Sicherheitsunternehmen watchTowr bewertet die Gefahr hingegen mit vollen 10 von 10 Punkten. Betroffene Versionsbereiche und technische Details sind bislang nicht veröffentlicht – trotzdem haben sich Millionen Systemadministratoren in Alarmbereitschaft versetzt.

Die Entdeckung übernahm die KI

php1

Logikfehler, die bei manuellen Code-Audits jahrelang unentdeckt bleiben können, wurden diesmal dank künstlicher Intelligenz aufgespürt. Das Forschungsteam von Calif brachte die Schwachstellen mit OpenAIs Modell GPT-5.6 Sol ans Licht; Wiz, das Google gehört, bestätigte den Fund unabhängig davon mit eigenen KI-Tools.

Laut Wiz war es früher ein äußerst aufwendiger Prozess, solche Lücken zu einer funktionsfähigen Waffe auszubauen. KI-Modelle beschleunigen Code-Analysen und die Entwicklung von Angriffsszenarien erheblich – und erleichtern damit, dass lange im Code schlummernde Fehler zu praxistauglichen Angriffswerkzeugen werden.

PHP2Shell und betroffene Plattformen

Die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführten Schwachstellen sollen Remote Code Execution ermöglichen. Auf Screenshots eines Exploits namens „PHP2Shell“, der Teil der geleakten Unterlagen ist, ist zu sehen, dass angeblich Code auf prominenten PHP-basierten Plattformen ausgeführt werden kann. Zu diesen Softwareprodukten zählen: WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Symfony 8.1.9, Drupal 11.4.10 und WHMCS 9.0.9.

watchTowr bestätigte, dass die Schwachstellen real sind, und berichtete, mindestens eine davon im Labor erfolgreich reproduziert zu haben. Die Firma Sansec warnte unterdessen, dass nach Erscheinen der Patches die erste große Angriffswelle bereits innerhalb von 15 Minuten beginnen könnte – und rief zu schnellem Handeln auf.

Warum PHP so kritisch ist

p2

PHP ist eine Programmiersprache, die einen erheblichen Teil der serverseitigen Verarbeitung der Websites übernimmt, die wir täglich besuchen. Sie verwaltet den Datenverkehr und die Rechenlast und führt komplexe Prozesse nicht auf dem Gerät der Nutzer aus, sondern auf entfernten Servern.

Geschätzt wird die Sprache auf rund 70 Prozent des Internets eingesetzt. Bedenkt man, dass auch extrem verbreitete Systeme wie WordPress auf PHP basieren, wird das potenzielle Ausmaß der entdeckten Schwachstelle deutlich.