PHP2Shell: KI hat eine alte Lücke scharf gemacht. Was Ihre Website jetzt braucht

TL;DR. Am 21. Oktober hat das PHP-Projekt zwei kritische Lücken geschlossen, die fast jede PHP-Version seit 5.4 betreffen. Ein Angreifer kann damit ohne Anmeldung eigenen Code auf dem Webserver ausführen. Gefunden und ausnutzbar gemacht haben das Sicherheitsforscher mit KI-Modellen, darunter Gemini 4 Argon und GPT-5.6 Sol. Den Verdacht gab es schon 2024, beweisen konnte ihn damals niemand. Neu ist nicht die Lücke, neu ist das Tempo: KI macht aus einem alten Verdacht in Tagen einen funktionierenden Angriff, für Verteidiger wie für Angreifer. Wer eine Website, einen Shop oder ein Intranet auf PHP betreibt, sollte heute prüfen lassen, ob das Update wirklich angekommen ist.

Was passiert ist

PHP ist die Programmiersprache hinter einem großen Teil des Webs. Laut W3Techs läuft sie auf 69,3 % aller Websites, deren Serversprache bekannt ist. WordPress, TYPO3, Drupal, Joomla, Magento und Nextcloud sind in PHP geschrieben, ebenso die Weboberflächen mancher Firewalls.

Die beiden Lücken (CVE-2026-109618 und CVE-2026-109619, Spitzname PHP2Shell) stecken in PHP selbst, in Speicherverwaltung und Fehlerbehandlung. Läuft eine Anfrage genau im falschen Moment in ihr Speicherlimit, bleiben Reste im Speicher liegen, die eine spätere Anfrage weiterverwendet. Darüber lässt sich laut den Entdeckern bei Wiz Code ausführen oder fremder Prozessspeicher auslesen, samt Passwörtern, Zugangsschlüsseln und Zertifikaten. Die eigene Anwendung muss dafür keinen Fehler haben. Selbst eine einfache „Hallo Welt“-Seite auf einer betroffenen Version kann angreifbar sein.

Beide Lücken haben einen Schweregrad von 9,2 von 10. Das BSI hat am 21. Oktober einen Sicherheitshinweis der Stufe 3 von 4 herausgegeben: Maßnahmen müssen unverzüglich ergriffen werden. Behoben ist das Problem laut php.net in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Was die KI daran geändert hat

Die Schwachstelle ist alt. Bei der Arbeit an einem externen Audit fielen 2024 erste Anzeichen des Speicherproblems auf, ein Angriff war aber nur theoretisch denkbar. Die PHP Foundation schreibt offen, die Behebung sei danach immer wieder ins Stocken geraten. Jede Lösung hatte Nachteile, das kleine Team war ausgelastet.

Im Sommer 2026 kamen die KI-Werkzeuge dazu. Die Sicherheitsfirma Calif begann am 30. Juli in einem Programm von OpenAI eine Prüfung von PHP. Nach wenigen Tagen hatte sie einen ersten Angriffsweg gegen WordPress. Am 11. August meldeten Calif und OpenAI denselben Kern unabhängig voneinander, Wiz folgte am 24. August mit weiteren Wegen. Wiz schreibt, mit Gemini 4 Argon, GPT-5.6 Sol und eigenen Werkzeugen habe ein einzelner Forscher in einer Woche geschafft, wofür früher ein Spitzenteam Monate gebraucht hätte. Den Angriff an verschiedene Anwendungen anzupassen, dauerte Stunden.

Calif betont zwei Punkte: Für den ersten Fund brauchte es keine Sondermodelle, die verwendeten Modelle stehen allen offen. Und der Forscher kannte die Fehlergeschichte von PHP und hat das Modell gezielt dorthin gelenkt. Das BSI zieht daraus eine klare Folgerung: „Spätestens seit dem Aufkommen von KI-gestützten Tools zur Exploit-Entwicklung verfügen Akteure über die benötigten Mittel um Patches innerhalb kurzer Zeit zu analysieren und Exploits zu generieren.“

Die Werkzeuge, die diese Lücke gefunden haben, stehen auch Angreifern offen.

Das Rennen vor dem Update

Geplant war die Veröffentlichung für heute, den 22. Oktober, 16 Uhr. Doch zwei Tage vorher tauchten die CVE-Nummern im Netz auf. PHP zog den Termin vor. Ein versehentlich veröffentlichtes Angriffsvideo und zu früh verteilte Container gaben Angreifern zusätzlich Material.

Noch vor dem Update meldeten Hadrian, Patchstack und Cloudflare erste Angriffsversuche, berichtet SecurityWeek. Erfolgreiche Angriffe hatte WatchTowr bis zum Nachmittag nicht gesehen, erwartet sie aber bald. Eine Web-Firewall hilft, ersetzt das Update aber nicht, sagen Cloudflare und BSI.

Das Kleingedruckte

• Die Versionsnummer täuscht. Linux-Distributionen flicken ihre Pakete, ohne die Nummer zu ändern. Ubuntu 24.04 meldet nach dem Update weiter PHP 8.3.6. Wer nur die Versionsnummer abliest, hält einen gepatchten Server für verwundbar oder umgekehrt. Maßgeblich ist die Sicherheitsmeldung der Distribution.
• Alte Versionen bekommen nur Notflicken. Für PHP 7.4, 8.0 und 8.1 hat das PHP-Projekt lediglich Korrekturen im Quellcode veröffentlicht. Fertige Updates gibt es dafür nur über Linux-Distributionen oder kostenpflichtige Langzeit-Anbieter.
• Einspielen allein reicht nicht. Laufende PHP-Prozesse arbeiten mit dem alten Code weiter, bis sie neu gestartet sind. Container müssen neu gebaut werden.
• KI erzeugt auch Lärm. Das PHP-Sicherheitsteam hat seit Juli 15 Lücken veröffentlicht und über 100 Meldungen bearbeitet, die ungültig, doppelt oder nicht nachvollziehbar waren. Welche Korrektur richtig ist, entscheiden dort weiter Menschen.

Wie viele Websites ein fertiges Update haben

Wir haben die Versionsstatistik von W3Techs vom 22. Oktober nachgerechnet. Nur gut die Hälfte der PHP-Websites läuft auf einer Version, für die es seit gestern ein fertiges Update gibt.

Die Zahl zeigt nicht, wie viele Server verwundbar sind, denn Distributionen flicken auch ältere Versionen unter alter Nummer. Sie zeigt aber, wie viele Betreiber jetzt mehr tun müssen, als ein Update anzustoßen. Heute früh kurz nach 6 Uhr lagen gepatchte Pakete für Debian 12 und 13 sowie für Ubuntu ab 22.04 bereit, für Ubuntu 20.04 nur über das kostenpflichtige Ubuntu Pro. Die offiziellen Docker-Abbilder für PHP wurden am Abend und in der Nacht zum 22. Oktober neu gebaut.

Was das für einen Mittelständler heißt

Die wenigsten Betriebe betreiben PHP selbst. Es läuft beim Hoster, bei der Agentur, im Shop-System oder in einem Gerät mit Weboberfläche. Die entscheidende Frage ist deshalb nicht, ob Sie betroffen sind, sondern wer was bis wann aktualisiert und wer es bestätigt. Laut BSI haben einige Betreiber in Deutschland ihre Server vorsorglich vom Netz genommen, bis sie aktualisiert waren.

Das Tempo ist das eigentlich Neue. Wenn KI aus einem veröffentlichten Fix in Stunden einen Angriff machen kann, reicht das nächste Wartungsfenster nicht mehr. Die gute Nachricht steckt im selben Fund: Dieselben Werkzeuge helfen Verteidigern, alte Fehler zuerst zu finden.

Was Sie jetzt tun sollten

1. Bestand aufnehmen. Wo läuft PHP? Website, Shop, Intranet, Ticketsystem, Dateiablage wie Nextcloud, Firewall-Oberfläche, vergessene Kampagnenseiten. Eine Liste betroffener Produkte führt das niederländische NCSC.
2. Das Update bestätigen lassen. Fragen Sie Hoster und Agentur schriftlich: welche Version, wann eingespielt, alle PHP-Prozesse neu gestartet? Bei Linux-Paketen zählt die Sicherheitsmeldung der Distribution, nicht die Versionsnummer.
3. Nach Spuren suchen. Angriffsversuche liefen schon vor dem Update. Lassen Sie Protokolle auf gehäufte Speicher- und Serverfehler prüfen und das Webverzeichnis auf fremde Dateien. Erwägen Sie, auf offen erreichbaren Servern die gespeicherten Passwörter und Schlüssel zu erneuern.
4. Alte Versionen ablösen. PHP 8.1 und älter bekommen keine offiziellen Updates mehr, PHP 8.2 laut BSI nur noch bis Jahresende. Planen Sie den Umstieg auf 8.3 oder neuer jetzt, nicht beim nächsten Notfall.
5. Den Notfallweg festlegen. Wer darf ein dringendes Update freigeben, auch abends? Wer prüft danach, ob es wirkt? Das sollte vor der nächsten Lücke geklärt sein.

KI findet alte Fehler gerade schneller, als viele Betriebe sie beheben. Dagegen hilft kein weiteres Werkzeug, sondern ein kurzer Weg vom Hinweis zum Update. Wenn Sie diesen Weg für Ihre Systeme einmal durchgehen wollen, sprechen Sie uns gern an.