PHP2Shell: KI findet uralte PHP-Lücken, jetzt updaten

Was ist passiert?

PHP ist die Sprache, auf der ein Großteil des Webs läuft: WordPress, Joomla, Drupal, viele Shops und Foren. Laut Wiz läuft rund 70 % aller Websites auf PHP. Genau dort steckten zwei Fehler im Kern der Sprache, nicht in einem Plugin, nicht in einem Theme, sondern im Motor selbst.

Das PHP-Projekt hat die Lücken am 20. Oktober angekündigt und am 21. Oktober 2026 um 14:00 Uhr UTC die Updates veröffentlicht. Beide Lücken sind mit CVSS v4.0 9.2 bewertet, also ganz oben auf der Skala. Sie laufen unter den Kennungen CVE-2026-109618 und CVE-2026-109619.

Wiz hat das Ganze „PHP2Shell“ getauft und gezeigt, dass Angreifer damit ohne Anmeldung Code auf Servern mit WordPress, Drupal und Joomla ausführen konnten. Zusätzlich ließ sich Speicher auslesen, in dem Passwörter, Tokens und API-Schlüssel stehen können.

Wie hat KI die Lücken gefunden?

Die Grundfehler sind laut Wiz über ein Jahrzehnt alt. Sie auszunutzen erforderte aber eine so verwickelte Kette von Schritten, dass das für menschliche Forscher an der Grenze des Machbaren lag. KI-Modelle haben diese Hürde deutlich gesenkt.

Wiz Research meldet den ersten Fund am 19. August 2026, entdeckt mit Wiz Atlas, Gemini 4 Argon und GPT-5.6 Sol. Unabhängig davon fand Calif einen kritischen Fehler mit GPT-5.6 Sol im Rahmen von „Patch the Planet“, einer Initiative von OpenAI, die Lücken in Open-Source-Software aufspüren soll. Danach koordinierten PHP-Team, OpenAI, Wiz, Cloudflare und weitere Partner zwei Monate lang die Reparatur.

Die Kehrseite nennt OpenAI selbst: Dieselben Fähigkeiten helfen auch Angreifern, schneller Exploits zu bauen. Die europäische Cybersicherheitsstelle CERT-EU meldet, dass erste Proof-of-Concepts kursieren. Das Zeitfenster zum Updaten ist also jetzt, nicht nächste Woche.

Bin ich betroffen?

Laut PHP-Projekt sind alle PHP-Installationen gefährdet, die Webanfragen beantworten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Am höchsten schätzt das PHP-Team das Risiko bei mod_php ein. Dort reicht eine einzige Anfrage ohne Login, bevor überhaupt Code deiner Website läuft.

Sicher sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 sowie neuer. Wer PHP 8.1 oder älter fährt, bekommt vom PHP-Projekt kein Update mehr. Für 7.4, 8.0 und 8.1 gibt es nur minimale Quellcode-Patches für Leute, die selbst kompilieren. Manche Linux-Distributionen und LTS-Anbieter liefern Rückportierungen, da hilft nur nachfragen.

Und gleich noch ein Termin für den Kalender: PHP 8.2 erreicht am 31. Dezember 2026 das Ende seiner Lebenszeit. Wer jetzt sowieso anfasst, kann direkt auf 8.4 oder 8.5 springen und spart sich den nächsten Schreck im Januar.

Was heißt das für Website-Betreiber ohne eigenen Server?

Die meisten kleinen Seiten laufen bei einem Hoster. Dort entscheidet der Anbieter, welche PHP-Builds installiert sind. Viele Hoster haben die Patches laut PHP-Projekt vorab bekommen. Prüf trotzdem in deinem Hosting-Panel, welche PHP-Version deine Seite nutzt, und stell im Zweifel auf die neueste unterstützte um.

Ein Website-Baukasten, bei dem du gar keinen Server siehst, kümmert sich in der Regel selbst darum. Eine schnelle Nachfrage beim Support kostet trotzdem nur eine Mail.

Wer KI zum Coden nutzt, hat übrigens ein neues Werkzeug: OpenAI stellt einen PHP-Versions-Prüfer als Skill für Codex bereit. Ein Skill ist ein Paket aus Anweisungen und Skripten, das einem KI-Agenten eine konkrete Aufgabe beibringt.

Jeans Einordnung

Das ist die Nachricht, bei der man gleichzeitig staunen und schwitzen kann. Staunen, weil KI einen Fehler aufgespürt hat, der Menschen ein Jahrzehnt lang durchgerutscht ist. Schwitzen, weil dieselbe Technik jetzt allen zur Verfügung steht, auch den Falschen.

Für dich heißt das ganz handfest: Updates sind ab sofort keine lästige Pflicht mehr, sondern Teil des Geschäftsmodells. Wenn KI Lücken in Wochen statt Jahren findet, zählt, wer schneller patcht.