PHP2Shell: KI-Modelle helfen, kritische Lücken im PHP-Kern zu finden

Was passiert ist

Am 21. Oktober 2026 hat das PHP-Team einen Sicherheits-Release veröffentlicht, der mehrere Speicherfehler im Kern der Engine behebt. Gebündelt in zwei CVEs, Schweregrad bis CVSS 9.2. Betroffen ist praktisch jede PHP-Version der letzten zehn Jahre, zurück bis 5.4 – und damit WordPress, Drupal, MediaWiki und Co., selbst wenn deren eigener Code sauber ist.

Der Kern der Lücken

• Ursache sind Fehler im Umgang mit Fatal Errors, vor allem Out-of-Memory, während eines Requests.
• Danach bleibt ein beschädigter interner Zustand zurück, den spätere Requests wiederverwenden.
• Folgen: Auslesen von Prozessspeicher (Passwörter, Tokens, Schlüssel) bis hin zu Remote Code Execution ohne Anmeldung.

Die KI-Rolle

Die Fehler schlummerten teils seit Jahrzehnten, weil ein funktionierender Exploit eine extrem komplexe Kette erfordert. Laut Wiz haben Frontier-Modelle diese Hürde drastisch gesenkt: Exploits ließen sich in Stunden an verschiedene Ziele anpassen. Calif fand eine der Lücken mit GPT‑5.6 Sol im Rahmen von OpenAIs Initiative „Patch the Planet“, Wiz entdeckte beide unabhängig. OpenAI stellt außerdem einen PHP-Versionschecker als Codex-Skill bereit und beschreibt einen fünfstufigen Koordinationsprozess für künftige Funde.

Was tun: PHP auf die gepatchte Version aktualisieren; Provider wie Cloudflare, AWS und Akamai bieten zusätzlich Zwischenmitigierungen.

Quellen: Wiz Research · OpenAI · PHP Foundation