PHP2Shell: Kritische Lücken im PHP-Kern

PHP2Shell betrifft den Kern der PHP-Engine

Sicherheitsforscher haben zwei kritische Schwachstellen im Kern von PHP entdeckt. Die unter dem Namen PHP2Shell zusammengefassten Lücken werden als CVE-2026-109618 und CVE-2026-109619 geführt. Mit einem CVSS v4.0-Wert von 9,2 gelten sie als kritisch.

Die Schwachstellen ermöglichen es Angreifern, ohne Authentifizierung Schadcode auszuführen oder Inhalte aus dem Serverspeicher auszulesen. Betroffen sind damit grundsätzlich auch Anwendungen wie WordPress, Drupal und Joomla. Nach Angaben von Wiz Research läuft PHP auf rund 70 % aller Websites weltweit.

Kennzahl	Wert
Schwachstellen	CVE-2026-109618 und CVE-2026-109619
Schweregrad	9,2 nach CVSS v4.0
Betroffener Zeitraum	Mindestens zehn Jahre, einzelne Codezeilen seit PHP 5.4
Zeit bis zur koordinierten Behebung	Rund zwei Monate
Zeit zwischen vorzeitigem Leak und Veröffentlichung	Rund neun Stunden

Fehler im Speichermanagement blieb jahrelang verborgen

Die Ursache liegt im Fehlermanagement der in C geschriebenen PHP-Engine. Bei Speicherüberläufen oder Abstürzen können Verweise auf bereits freigegebenen Speicher bestehen bleiben. Ein späterer Aufruf behandelt diese Verweise unter Umständen weiterhin als gültig.

Zu den Fehlerklassen gehören Use-after-free, also der Zugriff auf bereits freigegebenen Speicher, und Type Confusion, bei der Daten als falscher Typ verarbeitet werden. Für einen erfolgreichen Angriff mussten mehrere Schwächen miteinander kombiniert werden. Das erschwerte die Entdeckung über Jahre.

Mindestens eine der Lücken betrifft alle PHP-Versionen der vergangenen zehn Jahre. Teile des anfälligen Codes reichen bis PHP 5.4 zurück. Die Forscher konnten die Angriffskette gegen verbreitete Content-Management-Systeme demonstrieren.

KI verkürzt die Suche von Monaten auf eine Woche

Die Schwachstellen wurden unabhängig voneinander von Calif.io, Wiz und Quarkslab gefunden. Zum Einsatz kamen unter anderem GPT-5.6 Sol, Gemini 4 Argon und Wiz Atlas. Ein einzelner Forscher benötigte mit KI-Unterstützung etwa eine Woche für eine Arbeit, die zuvor ein Expertenteam über Monate hätte beschäftigen können.

Damit verändert sich die Wirtschaftlichkeit von Sicherheitsaudits. Große Legacy-Codebasen lassen sich gezielter auf schwer erkennbare Kombinationen aus Logik- und Speicherfehlern untersuchen. Ähnliche Ansätze verfolgt der Anthropic OSS Scanner für Open-Source-Projekte.

KI löst das Qualitätsproblem allerdings nicht automatisch. Automatisch erzeugter Code erhöht zugleich den Prüfaufwand, wie die Analyse zu minderwertigen KI-Pull-Requests zeigt. Sicherheitsprüfungen und menschliche Freigaben bleiben daher notwendig.

Frontier-KI verändert die Möglichkeiten der Cyberabwehr grundlegend.

Zwei Monate bis zum Patch, neun Stunden Vorwarnzeit

Wiz entdeckte die erste Schwachstelle am 19. August und meldete sie am 24. August an das PHP-Sicherheitsteam. Die koordinierten Updates erschienen am 21. Oktober. Die Behebung dauerte damit rund zwei Monate, weil mehrere Varianten geprüft und Anbieter, Linux-Distributoren sowie Sicherheitsunternehmen vorbereitet werden mussten.

Details zu PHP2Shell gelangten rund neun Stunden vor der geplanten Veröffentlichung nach außen. Cloudflare aktivierte ab 03:02 Uhr UTC Schutzregeln und registrierte erste Angriffsversuche. Ob Systeme in diesem Zeitraum erfolgreich kompromittiert wurden, ist nicht bestätigt.

„Kunden sollten ihre PHP-Repositories patchen.“

Eine Web Application Firewall, kurz WAF, kann bekannte Angriffsmuster vorübergehend blockieren. Sie beseitigt den Fehler auf dem Server jedoch nicht. Sie ist deshalb nur eine zusätzliche Schutzschicht während des Update-Zeitraums.

Diese PHP-Versionen schließen die Lücken

Für die unterstützten PHP-Zweige wurden vier korrigierte Versionen veröffentlicht. Unternehmen mit eigenen Servern sollten die installierte Laufzeit und sämtliche Container-Abbilder prüfen.

PHP-Zweig	Gepatchte Version
PHP 8.5	PHP 8.5.12
PHP 8.4	PHP 8.4.27
PHP 8.3	PHP 8.3.36
PHP 8.2	PHP 8.2.35

Linux-Distributionen können Korrekturen per Backport bereitstellen, ohne die sichtbare PHP-Versionsnummer zu erhöhen. Ob und bei welchen Distributionen dies bereits geschehen ist, muss anhand der jeweiligen Sicherheitshinweise geprüft werden. Gleiches gilt für verwaltete Hosting-Angebote.

Konsequenzen für Unternehmen im DACH-Raum

PHP bildet auch in Deutschland, Österreich und der Schweiz die technische Basis vieler Websites, Shops und Kundenportale. Neben WordPress, Drupal und Joomla spielt im DACH-Raum insbesondere TYPO3 eine wichtige Rolle. Verantwortliche sollten daher nicht nur das Content-Management-System, sondern auch die darunterliegende PHP-Laufzeit kontrollieren.

Self-Hosting bietet Kontrolle über Daten und Infrastruktur, setzt aber ein verlässliches Patch-Management voraus. Inventarisierung, automatische Update-Hinweise und definierte Notfallprozesse sind keine optionalen Betriebsaufgaben. Bei verwalteten Plattformen bleibt zusätzlich zu klären, wann der Anbieter die Korrektur eingespielt hat.

Für Eigenentwicklungen sollten KI-gestützte Sicherheitsprüfungen in CI/CD-Pipelines integriert werden, also in automatisierte Prüf- und Auslieferungsprozesse. Das gilt besonders für ältere C- und C++-Komponenten sowie öffentlich erreichbare Schnittstellen. Dass KI-Prüfungen selbst organisatorischen Aufwand verursachen können, zeigt die Verzögerung von PostgreSQL 19 durch KI-Reviews.

OpenAI schlägt Verfahren für KI-Funde vor

OpenAI beteiligte sich im Rahmen der Initiative Patch the Planet an der Koordination. Das Unternehmen schlägt ein fünfstufiges Verfahren für Schwachstellen vor, die mithilfe leistungsfähiger KI-Modelle entdeckt werden.

1. Forscher und Maintainer bestätigen die Schwachstelle und entwickeln eine Korrektur.
2. KI-Modelle prüfen den Patch auf Umgehungsmöglichkeiten und weitere Varianten.
3. Handlungsfähige Betreiber, Distributoren und Sicherheitsanbieter erhalten vorab Informationen.
4. Anbieter bereiten Updates, Schutzregeln und technische Hinweise vor.
5. Patch und Details werden koordiniert veröffentlicht.

OpenAI warnt zugleich, dass dieselben Fähigkeiten Angreifern helfen können, offensive Werkzeuge und Exploits schneller zu entwickeln. Über das Programm Daybreak for Frontline Defenders stellt das Unternehmen 1 Milliarde US-Dollar an subventioniertem KI-Zugang für sicherheitsrelevante Organisationen bereit. Hinzu kommen Abonnements und direktes Sponsoring für Open-Source-Maintainer.

PHP2Shell zeigt damit beide Seiten der Entwicklung. KI kann tief verborgene Fehler schneller finden, verkürzt aber möglicherweise auch die Zeit zwischen Bekanntwerden und aktiver Ausnutzung. Für Betreiber zählt deshalb vor allem die Geschwindigkeit zwischen Sicherheitsmeldung, Prüfung und installiertem Update.