Es ist einer der größten Sicherheitsvorfälle des Jahres – und zugleich ein Schaufenster dafür, was KI-gestützte Sicherheitsforschung inzwischen leistet: Am 21. Oktober 2026 haben die PHP-Entwickler gemeinsam mit der Google-Tochter Wiz zwei kritische Sicherheitslücken im PHP-Kern offengelegt, die unter dem Namen „PHP2Shell" laufen. Da PHP nach Zahlen von W3Techs auf rund 70 Prozent aller Websites läuft, müssen nun weltweit Millionen Server gepatcht werden – darunter praktisch jede WordPress-, TYPO3-, Joomla- und Drupal-Installation.
Vier Fehler, zwei CVEs, CVSS 9,2
Hinter PHP2Shell stecken vier Programmierfehler, die unter zwei CVE-Nummern zusammengefasst wurden: CVE-2026-109618 betrifft einen Use-after-free-Fehler im Upload-Progress-Unserializer und erlaubt zusätzlich das Auslesen von Prozessspeicher – also potenziell Passwörter, Session-Tokens und API-Schlüssel. CVE-2026-109619 kombiniert einen Use-after-free im Backtrace bei fatalen Fehlern mit einer Type-Confusion im OPcache. Beide Lücken erreichen einen CVSS-Wert von 9,2 und ermöglichen Angreifern ohne Anmeldung die Ausführung von Schadcode aus der Ferne (Remote Code Execution).
Brisant: Betroffen sind laut Wiz fast alle PHP-Versionen bis zurück zu PHP 5.4 – jede Version aus dem letzten Jahrzehnt enthält mindestens eine der Lücken. Die Forscher demonstrierten funktionierende Angriffe gegen aktuelle WordPress-, Drupal- und Joomla-Installationen. Wer noch PHP 8.1 oder älter einsetzt, erhält keine regulären Updates mehr und muss auf eine unterstützte Version wechseln; TechCrunch nennt als Empfehlung die aktuelle Version 8.5.12.
KI fand die Lücken – und baute die Exploits gleich mit
Bemerkenswert ist, wie die Fehler gefunden wurden: Das Wiz-Forschungsteam setzte seinen Security-Agenten Wiz Atlas zusammen mit Googles Gemini 4 Argon und OpenAIs GPT-5.6 Sol ein. Unabhängig davon stieß die Sicherheitsfirma Calif im Rahmen von OpenAIs Initiative „Patch the Planet" ebenfalls mit GPT-5.6 Sol auf eine der Lücken. Laut Wiz erledigte ein einzelner Forscher mit KI-Unterstützung in einer Woche Arbeit, für die sonst ein Expertenteam Monate gebraucht hätte – vom Fund über die Exploit-Entwicklung bis zur Prüfung der Patches.
Die Offenlegung lief über zwei Monate koordiniert ab: Entdeckung am 19. August, Meldung an das PHP-Security-Team am 24. August, Patches und Veröffentlichung am 21. Oktober. Die Kehrseite benennen die Entdecker selbst: Dieselben Fähigkeiten, mit denen ein KI-Agent Lücken findet, helfen auch Angreifern, Exploits automatisch an unterschiedliche PHP-Versionen und Konfigurationen anzupassen. Massenangriffe werden damit deutlich einfacher – Sicherheitsexperten rechnen binnen kurzer Zeit mit funktionierenden Exploits in freier Wildbahn.
Was bedeutet das für Anwender in Deutschland?
Das BSI hat die Bedrohungslage mit der Warnstufe 3/Orange als „außerordentlich hoch" eingestuft und rät Betreibern, die nicht sofort patchen können, ihre Server im Zweifel vom Netz zu nehmen. Mehrere Kommunen, Universitäten und Krankenhäuser haben Online-Angebote vorsorglich abgeschaltet – die Stadt Mainz etwa nahm ihr Portal mainz.de offline. Für Deutschland wiegt die Lücke besonders schwer, weil hier PHP-basierte Systeme wie WordPress, TYPO3, Shopware und Moodle den Markt dominieren – vom Vereinsauftritt bis zum Schulserver.
Konkret heißt das: Wer seine Website selbst hostet, sollte sofort die PHP-Version prüfen und das Sicherheitsupdate einspielen. Kunden von Managed-Hosting-Anbietern wie IONOS, Strato oder Hetzner sollten die Statusseiten ihres Hosters prüfen – dort wird das Patchen in der Regel zentral erledigt, nachfragen schadet aber nicht. Unternehmen müssen zudem die DSGVO im Blick behalten: Da CVE-2026-109618 das Auslesen von Speicherinhalten erlaubt, kann ein erfolgreicher Angriff ein meldepflichtiger Datenschutzvorfall sein – es gilt die 72-Stunden-Frist nach Artikel 33 DSGVO. Bis alle Systeme gepatcht sind, lohnt ein Blick in die Logs: Auffällige Multipart-Requests gefolgt von HTTP-500-Fehlern, ungewöhnlich große PHPSESSID-Cookies und unerklärliche Neustarts von PHP-Workern nennt Wiz als Warnsignale. Endnutzer müssen beim Surfen nichts tun – die Lücke liegt auf den Servern. Einen Überblick über KI-gestützte Schutzwerkzeuge bietet unsere Kategorie KI-Sicherheitstools.
Quellen
- PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz Research
- Sicherheitslücke bei PHP: Millionen Webseiten bedroht — ZDFheute
- GPT-5.6 Sol und Gemini 4 Argon entdeckten die kritische PHP-Sicherheitslücke — The Decoder
- PHP Armageddon: OpenAI, Google's Wiz find ancient holes — TechCrunch