KI entdeckt kritische PHP-Schwachstellen, die 70 % des Webs betreffen

Am 21. Oktober 2026 veröffentlichte das PHP-Entwicklungsteam Notfall-Patches für kritische Sicherheitslücken in der Kernsprache. Wiz Research entdeckte diese Fehler mithilfe von künstlicher Intelligenz und zeigte, dass nahezu jede in den letzten zehn Jahren veröffentlichte PHP-Version anfällig für Remote-Code-Ausführung oder den Diebstahl sensibler Daten ist. Die Erkenntnisse wirken sich auf geschätzte 70 % aller Websites weltweit aus, einschließlich großer Plattformen wie WordPress, Drupal und Wikipedia.

Was passiert ist

Wiz Research identifizierte mehrere schwerwiegende Probleme mit der Speichersicherheit innerhalb des PHP-Kerns selbst, unabhängig von spezifischen Anwendungen, die darauf laufen. Diese Schwachstellen, verfolgt unter CVE-2026-109618 und CVE-2026-109619, ermöglichen es nicht authentifizierten Angreifern, beliebigen Code auf betroffenen Servern auszuführen oder Prozessspeicher zu lesen, der Passwörter, API-Schlüssel und Authentifizierungstoken enthält. Die Fehler entstehen durch die Art und Weise, wie PHP bei der Anfrageverarbeitung mit fatalen Fehlern umgeht, insbesondere bei Bedingungen mit unzureichendem Speicher (Out-of-Memory). Wenn eine Anfrage unerwartet fehlschlägt, kann der interne Zustand beschädigt werden, was zu hängenden Zeigern führt, die von nachfolgenden Anfragen versehentlich wiederverwendet werden können.

Die Entdeckung markiert einen bedeutenden Wandel in der Forschung zu Sicherheitslücken. Obwohl der fehlerhafte Code seit über einem Jahrzehnt existierte, erforderte der Nachweis seiner Ausnutzbarkeit die Verkettung komplexer Primitive zur Speicherbeschädigung über verschiedene PHP-Versionen und Konfigurationen hinweg. Bisher hätte ein solches Maß an Analyse monatelange Arbeit eines großen Teams erstklassiger Sicherheitsexperten erfordert. In diesem Fall ermöglichten modernste KI-Modelle einem einzelnen Forscher, funktionierende Exploits in nur einer Woche zu entwickeln. Die koordinierte Offenlegung umfasste die Zusammenarbeit mit dem PHP-Team, OpenAI, Calif sowie großen Cloud-Anbietern, um sicherzustellen, dass Gegenmaßnahmen vor der öffentlichen Freigabe bereitstanden.

Wie es funktioniert

Die Schwachstellen resultieren aus Race Conditions und Fehlern im Zustandsmanagement während der Fehlerbehandlung. Ein Bug betrifft den Handler für den Fortschritt beim Hochladen von Sitzungen. Tritt ein Out-of-Memory-Fehler beim Dekodieren von Sitzungsdaten auf, bleibt der globale Zustand des Unserializers auch nach Zerstörung des Request-Heaps publiziert. Eine spätere Anfrage, die vom selben Worker-Prozess bearbeitet wird, kann diesen freigegebenen Speicher zurückgewinnen und PHP dazu verleiten, angreiferkontrollierte Daten als gültige interne Buchhaltung zu behandeln. Dieses Use-After-Free-Primitive ermöglicht Speicherbeschädigungen und führt in Kombination mit Informationslecks zur Remote-Code-Ausführung.

Ein weiterer Vektor betrifft den Backtrace-Mechanismus bei fatalen Fehlern. PHP behält den Backtrace des letzten fatalen Fehlers in einer globalen Variable. Wenn ein fataler Out-of-Memory-Fehler den Request-Heap zerstört, ohne diesen globalen Zeiger zu löschen, überlebt der Worker mit einem hängenden Verweis. Wenn die nächste Anfrage eine diagnostische Ausgabe auslöst, greift PHP auf diesen veralteten Zeiger zu, der nun auf vom Angreifer zurückgewonnenen Speicher zeigt. Dieser Cross-Request-Use-After-Free ermöglicht kontrollierte Speicherbeschädigung. Zusätzlich erlaubt Typverwirrung im OPcache-Shared-Memory Angreifern, den gemeinsamen Zustand über verschiedene Worker-Prozesse hinweg zu korrumpieren, was die Ausnutzung auf Plattformen wie WordPress weiter erleichtert.

Wichtige Details

• Umfang: Betrifft PHP-Versionen bis zurück zu 5.4 und wirkt sich auf etwa 70 % aller Websites aus.
• Schweregrad: CVSS-Bewertung von 9,2, die nicht authentifizierte Remote-Code-Ausführung und Offenlegung von Speicherinhalten ermöglicht.
• Entdeckungsmethode: Modernste KI-Modelle (Gemini 4 Argon, GPT-5.6 Sol) reduzierten die Zeit für die Entwicklung von Exploits von Monaten auf Wochen.
• Auswirkung: Demonstrierte Ausnutzung auf WordPress, Drupal und Joomla, ohne dass Anwendungsebene-Schwachstellen erforderlich waren.
• Patch-Datum: Offizielle Fixes wurden vom PHP-Team am 21. Oktober 2026 veröffentlicht.
• Zusammenarbeit: Koordiniert mit AWS, Cloudflare, Google, Microsoft und anderen für weitreichende Gegenmaßnahmen.

Warum das wichtig ist

Für Software-Ingenieure und Infrastruktur-Leiter unterstreicht dieser Vorfall, dass Legacy-Codebasen tiefe, systemische Risiken bergen, die traditionelle Audits oft übersehen. Die Tatsache, dass diese Bugs zehn Jahre lang unentdeckt blieben, deutet darauf hin, dass viele andere grundlegende Bibliotheken ähnliche latente Schwachstellen enthalten könnten. Die Abhängigkeit von PHP für kritische Web-Infrastruktur bedeutet, dass selbst sicherer Anwendungscode nicht gegen Fehler in der zugrunde liegenden Laufzeitumgebung schützt. Teams müssen davon ausgehen, dass ihre Abhängigkeiten verwundbar sind, solange das Gegenteil nicht bewiesen ist, und sollten schnelle Patch-Zyklen priorisieren.

Die Rolle der KI bei dieser Entdeckung verändert die Bedrohungslandschaft dauerhaft. Komplexität ist kein zuverlässiges Verteidigungsmechanismus mehr. Wenn KI obskure Speicherfehler in wenigen Tagen zu funktionierenden Exploits verkettet können, werden Angreifer bald dieselbe Fähigkeit besitzen. Dies verschiebt den Vorteil von denen, die Komplexität verstecken, zu denen, die Erkennung und Behebung im großen Maßstab automatisieren können. Sicherheitsstrategien müssen sich weiterentwickeln und KI-gestützte Schwachstellenscans sowie Runtime-Schutz umfassen, da manuelle Code-Reviews allein nicht ausreichen, um diese tiefgreifenden Engine-Level-Fehler zu identifizieren.

Was Sie tun können

• Aktualisieren Sie Ihre PHP-Installation unverzüglich auf die neueste gepatchte Version, die am 21. Oktober 2026 veröffentlicht wurde.
• Falls eine sofortige Patchung nicht möglich ist, setzen Sie Regeln für Web Application Firewalls ein, um ungewöhnliche Multipart-Anfragen zu blockieren, und überwachen Sie HTTP-500-Fehler.
• Prüfen Sie Server-Logs auf Anzeichen einer Ausnutzung, wie z. B. unerwartetes Churning von PHP-Workern oder fehlerhafte Session-Cookies.
• Aktivieren Sie Runtime Application Self-Protection (RASP) oder ähnliche Tools, die Verhaltensweisen zur Speicherbeschädigung erkennen können.
• Auditieren Sie Ihre Abhängigkeitskette, um alle Dienste zu identifizieren, die betroffene PHP-Versionen verwenden, einschließlich containerisierter Umgebungen.
• Implementieren Sie strenge Speicherlimits und Monitoring, um Out-of-Memory-Bedingungen zu erkennen, die diese Schwachstellen auslösen könnten.