KI entdeckt kritische PHP-Schwachstellen, löst Debatte über Offenlegung aus

Am 21. Oktober 2026 veröffentlichte das PHP-Projekt Notfall-Updates für zwei kritische Sicherheitslücken, was viele Website-Betreiber dazu veranlasste, ihre Dienste offline zu nehmen. Der Vorfall, der als PHP2Shell bezeichnet wurde, betraf die Schwachstellen CVE-2026-109618 und CVE-2026-109619, die Remote Code Execution ermöglichen. Während die technischen Fixes dringend erforderlich waren, entfachte das Ereignis eine erhebliche Kontroverse bezüglich koordinierter Schwachstellenoffenlegung in einer Ära, in der KI die Entwicklung von Exploits beschleunigt.

Was passiert ist

Die Schwachstellen betreffen PHP-Versionen, auf denen etwa 70 % aller Websites laufen. Die PHP Foundation gab korrigierte Versionen für die Zweige 8.2.35, 8.3.36, 8.4.27 und 8.5.12 heraus. Nutzer älterer, nicht mehr unterstützter Zweige müssen ein Upgrade durchführen oder sich auf Backports ihrer Distributoren verlassen. WordPress riet Website-Inhabern, ihre PHP-Installationen zu aktualisieren, und stellte klar, dass die Fehler in der Sprache selbst liegen und nicht in der WordPress-Anwendung.

Der Entdeckungsprozess unterstrich die wachsende Rolle künstlicher Intelligenz in der Sicherheitsforschung. Das Sicherheitsunternehmen Calif, das an OpenAIs Initiative „Patch the Planet“ teilnimmt, nutzte GPT-5.6 Sol, um einen Weg zur Remote Code Execution zu identifizieren, und meldete dies am 11. August. OpenAI meldete unabhängig davon am selben Tag denselben Fehler, gefolgt von Wiz am 24. August. Obwohl die PHP-Maintainer während eines Audits im Jahr 2024 Anzeichen eines zugrunde liegenden Out-of-Memory-Problems bemerkt hatten, fehlte ihnen bis zu diesen KI-unterstützten Berichten ein konkreter Ausnutzungsweg, um den Schweregrad einzuschätzen.

Ein Streit entbrannte, als Chainguard, ein Unternehmen für Sicherheit in der Software-Lieferkette, gepatchte Container-Images mehr als sechs Stunden vor dem Zeitpunkt der koordinierten Offenlegung veröffentlichte. Chainguard-CEO Dan Lorenc erklärte, er habe das Embargo gebrochen, da Berichte über aktive Ausnutzungen in freier Wildbahn und durchsickernde Details vorlagen. Die PHP Foundation kritisierte diesen einseitigen Schritt mit der Begründung, er gebe Angreifern Zeit, den Fix zu studieren, während andere Nutzer weiterhin verwundbar blieben. Lorenc entschuldigte sich für den verursachten Stress, behielt aber bei, dass der Schutz der Nutzer Priorität habe.

Wie es funktioniert

Das zentrale technische Problem betrifft einen Out-of-Memory-Zustand, der manipuliert werden kann, um Remote Code Execution zu erreichen. Diese Art von Schwachstelle ermöglicht es einem Angreifer, beliebige Befehle auf einem Server auszuführen, der eine PHP-Anwendung hostet. Der Fehler ist aufgrund der allgegenwärtigen Nutzung von PHP besonders gefährlich; wie Moshe Siman Tov Bustan von OX Security anmerkte, ist jede öffentlich zugängliche PHP-Instanz potenziell exponiert.

Die Kontroverse dreht sich um die Mechanismen der koordinierten Offenlegung. Üblicherweise vereinbaren Anbieter eine Embargo-Phase, um Patches gleichzeitig vorzubereiten. Allerdings sind KI-Modelle nun in der Lage, Exploits schnell zu finden und zu verifizieren. Chainguards Testumgebung, die ein Frontier-KI-Modell nutzt, hat das Problem unabhängig wiederentdeckt. Als Lorenc Berichte über mögliche Live-Exploits erhielt und sah, dass Proof-of-Concept-Videos online durchsickerten, entschied er, dass das Risiko des Wartens den Nutzen der Koordination überstieg. Er veröffentlichte die Fixes öffentlich, um sofortigen Zugang zu gewährleisten, und umging dabei das Standard-Embargo-Protokoll.

Wichtige Details

• Die Schwachstellen sind als CVE-2026-109618 und CVE-2026-109619 identifiziert.
• Korrigierte PHP-Versionen sind 8.2.35, 8.3.36, 8.4.27 und 8.5.12.
• Chainguard veröffentlichte gepatchte Images vorzeitig und berief sich auf Beweise für aktive Ausnutzungen.
• Die PHP Foundation bezeichnete die Verzögerung bei der Behebung des 2024 identifizierten Problems als „strukturelles Versagen“.
• Amazon Threat Intelligence entdeckte ab dem 17. Oktober Exploit-Versuche gegen Honeypots.
• KI-Modelle wie GPT-5.6 Sol spielten eine Schlüsselrolle bei der Entdeckung und Verifizierung der Fehler.

Warum es wichtig ist

Für Software-Ingenieure und IT-Leiter unterstreicht dieser Vorfall, dass traditionelle Wartungsfenster für kritische Infrastruktur möglicherweise nicht mehr ausreichen. Die Geschwindigkeit, mit der KI Schwachstellen entdecken und weaponisieren kann, führt dazu, dass das Zeitfenster zwischen Entdeckung und Ausnutzung schrumpft. Organisationen müssen darauf vorbereitet sein, Patches sofort bereitzustellen, auch außerhalb normaler Zeitpläne, um Risiken durch weit verbreitete Abhängigkeiten wie PHP zu mindern.

Der Streit hebt zudem die Fragilität aktueller Open-Source-Sicherheitsmodelle hervor. Die PHP Foundation räumte ein, dass Ressourcenengpässe und komplexe Abwägungen die Behebung eines bekannten Problems verzögert haben. Da KI die Hürde für die Fehlersuche senkt, steigt die Belastung für Maintainer. Ohne zusätzliche Finanzierung und Unterstützung durch die Unternehmen und Regierungen, die auf diese Software angewiesen sind, sind ähnliche strukturelle Versagen wahrscheinlich, die das Web-Ökosystem anfällig für Bedrohungen im Internetmaßstab lassen.

Was Sie tun können

• Aktualisieren Sie Ihre PHP-Installation unverzüglich auf Version 8.2.35, 8.3.36, 8.4.27 oder 8.5.12.
• Wenn Sie einen nicht unterstützten PHP-Zweig nutzen, planen Sie ein Upgrade oder wenden Sie Backports Ihres Distributors an.
• Überprüfen Sie Server-Logs auf verdächtige Aktivitäten seit dem 17. Oktober 2026.
• Gehen Sie von einer Kompromittierung aus, wenn Sie Hinweise auf Ausnutzungen auf ungepatchten Systemen finden.
• Arbeiten Sie mit vertrauenswürdigen Lieferanten wie Red Hat oder Canonical zusammen, um validierte Patches zu erhalten.
• Setzen Sie sich für die organisatorische Unterstützung kritischer Open-Source-Projekte ein, von denen Sie abhängen.