PHP Foundation schließt zwei kritische Lücken mit Notfall-Patch

Die Sicherheitsforscher von watchTowr erklären, die beiden Schwachstellen ermöglichten Remote-Code-Ausführung. Das PHP-Sicherheitsteam bewertet die beiden Schwachstellen mit 9,2 auf der CVSS-v4.0-Skala, hat sie aber nicht beschrieben, wie The Hacker News berichtet. Die Angabe CVSS 10.0 stammt aus dem Leck; PHP bewertet die Schwachstellen mit 9,2 auf Version 4.0 der Skala. Die Fehler ermöglichen es Angreifern, auf nicht gepatchten PHP-Systemen Code aus der Ferne auszuführen, wie Fortune berichtet.

Chronologie

Am 1. August fand das in Kalifornien ansässige KI-Red-Teaming-Unternehmen Calif das erste Problem mithilfe von GPT-5.6 Sol und informierte anschließend OpenAI, wie Fortune berichtet. OpenAI untersuchte das Problem anschließend selbst und fand weitere Elemente des Fehlers, was die Entdeckung umfassender machte. Ein OpenAI-Sprecher sagte gegenüber Fortune, die zusätzlichen Elemente hätten fast deutlich gemacht, dass der Fehler schwerwiegender sei, als Calif ursprünglich erkannt hatte. Calif wandte sich an Volker Dusch von der PHP Foundation und begann dann mit der Arbeit am Hacken von PHP. Das Calif-Team erwartete nach eigenen Angaben nicht, etwas Kritisches zu finden, da PHP seit Jahren von der Cybersecurity-Community stark geprüft worden sei.

Die Sicherheitsforscher von Wiz fanden die Schwachstellen im August 2026 unabhängig, wobei sie am 19. August 2026 die erste Schwachstelle identifizierten. Das Wiz-Team identifizierte das erste Problem am 19. August mithilfe einer Kombination aus Google Gemini 4 Argon, OpenAI GPT-5.6 Sol und Wiz Atlas. Ein Wiz-Sprecher sagte gegenüber Fortune, das Team habe PHP untersucht, weil es „das Rückgrat des Internets“ sei, und räumte ein, dass die parallele Initiative wie ein „Zufall“ wirken möge. OpenAI begann Gespräche mit der PHP Foundation über das Problem und erfuhr dabei, dass auch Wiz, ein von Google gehörendes Cybersecurity-Unternehmen, mit der Foundation über das Problem sprach. Calif entschied sich, PHP zu untersuchen, weil es nach Angaben des Unternehmens als hochwirksames Ziel herausstach.

Koalition und Offenlegung

OpenAI beschloss, alle Parteien zusammenzubringen, und führte nach eigenen Angaben eine „Koalition aus Maintainern, Forschern und Sicherheitsanbietern“ zur Behandlung der kritischen Schwachstellen an. Zu dieser Koalition gehörten Wiz, Calif, PHP, Cloudflare und mehrere US-Regierungsbehörden sowie weitere Beteiligte. Der Blogbeitrag von Cloudflare nennt auch das französische Cybersecurity-Unternehmen Quarkslab als Teil der Anstrengung. Die Parteien schlossen sich nach Angaben von OpenAI mit der PHP Foundation zu einer koordinierten Anstrengung zusammen, um Fixes zu entwickeln und Offenlegung sowie Ausrollen des Patches abzustimmen. OpenAI hatte Calif eingeladen, an seiner Initiative „Patch the Planet“ teilzunehmen, die Sicherheitslücken in digitaler Infrastruktur proaktiv finden und beheben soll.

Das Leck

Am 20. Oktober behauptete ein Beitrag auf HN, zwei PHP-Remote-Code-Ausführungs-Schwachstellen mit CVSS 10.0, die Versionen ab PHP 5 betreffen, würden am 22. Oktober 2026 offengelegt. Der Verfasser des HN-Beitrags gab an, keine Belege über „source: trust me, bro“ hinaus zu haben. Das Leck enthielt die Existenz der Schwachstellen, eine Bewertung, ein Datum und zwei CVE-Identifikatoren, aber nicht, wie die Schwachstellen funktionieren. watchTowr erklärte auf X, die geleakten Informationen seien echt, die beiden Schwachstellen stünden unter Embargo, alle hätten bis Donnerstag warten sollen, und man könne derzeit nichts weiter mitteilen. PHP veröffentlichte seine Mitteilung am Abend um 19:33 UTC mit dem Release für Mittwoch, einen Tag vor dem von watchTowr genannten Datum. PHP will am 21. Oktober um 14:00 UTC ein außerplanmäßiges Sicherheitsrelease für zwei kritische Schwachstellen veröffentlichen.

Nur die vier unterstützten PHP-Zweige 8.2 bis 8.5 können den Fix erhalten, wie The Hacker News berichtet. Die Versionen 8.2 und 8.3 erhalten nur Sicherheitsfixes, 8.4 und 8.5 befinden sich in aktiver Unterstützung. Alles Ältere, einschließlich 8.1, 8.0, 7.x und 5.x, ist End of Life und erhält keinen PHP-Fix; sollten die Schwachstellen diese Zweige erreichen, hätten Installationen darauf keinen Hersteller-Patch. PHP veröffentlicht Fixes nur für seine vier unterstützten Zweige und dokumentiert die Änderungen jedes Zweigs in seinem Changelog. PHP hat keinen Workaround veröffentlicht. Vor dem Release erwarten mehrere Tracker, darunter der von Alpine Linux und der Sicherheitsforscher Kevin Beaumont, dass die Fixes als PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 erscheinen, das jeweils nächste Point-Release jedes Zweigs, obwohl PHP die Nummern nicht bestätigt hat. Das Release soll klären, was die Mitteilung zurückhielt: welche Versionen betroffen sind, welcher Teil von PHP involviert ist, ob ein Angriff eine bestimmte Art der PHP-Ausführung, eine Konfiguration oder eine Anmeldung erfordert und wie PHP selbst die Schwachstellen beschreibt. Die Behauptung, jede Version seit PHP 5 sei betroffen, ist unbestätigt; watchTowr gibt in seinem eigenen FAQ an, dieser Umfang sei „has not been confirmed by an official vendor advisory“ und es sei keine Konfigurations- oder Funktionsanforderung beschrieben worden. Die von Forschern verwendeten Identifikatoren CVE-2026-109618 und CVE-2026-109619 waren ebenfalls in dem geleakten Beitrag aufgeführt; die Mitteilung von PHP nennt keinen von beiden. Forscher haben begonnen, das Paar php2shell zu nennen; der Name stammt von ihnen, nicht von PHP.

Das Sicherheitsunternehmen Mallory zählte am 20. Oktober etwa 884.000 internetzugewandte Hosts, deren HTTP-Banner gegenüber der Shodan-Suchmaschine eine PHP-Version von 8.1 oder älter meldeten, 59 Prozent der rund 1,5 Millionen Hosts, die überhaupt eine Version meldeten. Die Zählung erfasst Banner, nicht bestätigt betroffene Systeme, und weitere 740.000 Hosts meldeten PHP ohne Versionsangabe. Eine erste Analyse des Cybersecurity-Unternehmens Palo Alto Networks identifizierte 22,6 Millionen potenziell verwundbare Instanzen. WordPress, das laut Reuters rund 40 Prozent aller Websites betreibt, gehört zu den bekanntesten auf PHP laufenden Seiten. Zu den weiteren laut W3Techs auf PHP laufenden Seiten gehören Microsoft.com, Wikipedia.org, Archive.org (derzeit vorübergehend offline), TheGuardian.com und Baidu.com. PHP startete 1994 als kleines Projekt und wuchs mit dem modernen Internet. Facebook startete 2004 als PHP-Website, bevor das Unternehmen 2020 eine umfangreiche Umstellung auf andere Software begann. Eine eingeschränkte Version des Fehlers war 2024 entdeckt worden und damals nicht als bedeutend eingestuft worden.

Die Cyber-Abteilung des FBI und die National Security Agency gaben Erklärungen ab, in denen sie potenziell betroffene Organisationen zur Aktualisierung ihrer Dienste aufforderten. Auch der Premierminister Japans, das Computer Emergency Response Team der Europäischen Union und mehrere andere nationale Behörden forderten Aktualisierungen. CERT-EU rät: „consider isolating internet-facing applications from public networks until a fix is available.“ Mehrere Regierungen nahmen Websites vorsorglich offline, darunter einige Behörden in den Niederlanden und Finnland, wie Reuters berichtete. Bislang wurde keine Ausnutzung der Schwachstellen gemeldet, wie The Hacker News berichtet. Das FAQ von watchTowr führt Ausnutzung als „none reported“ mit Stand vom 21. Oktober und die Schwachstellen als nicht im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA geführt. Huntress gab an, bis zum 20. Oktober keine Ausnutzung der Schwachstellen in seinen Partnerumgebungen gesehen, keinen Proof of Concept erstellt oder reproduziert zu haben und keinen öffentlichen Exploit-Code zu kennen. Cloudflare begann nach Angaben seines CTO Dane Knecht, erste Angriffe auf die Schwachstellen zu beobachten, wie Fortune berichtet. Als die PHP-Schwachstelle CVE-2024-4577 im CGI-Modus unter Windows im Juni 2024 öffentlich wurde, verzeichnete Akamai innerhalb von 24 Stunden Ausnutzungsversuche gegen seine Honeypot-Server. Die Frage bleibt, ob genügend Teile des Internets die Patches rechtzeitig einsetzen, bevor Hacker die Schwachstelle ausnutzen, um Websites anzugreifen und wichtige Daten zu stehlen.

OpenAI erklärte in einem Blogbeitrag, angesichts der Schwere der Fehler und der weiten Verbreitung von PHP betrachte man dies als eines der folgenreichsten Sicherheitsprobleme der jüngeren Vergangenheit. OpenAI erklärte weiter, dies zeige, wie KI Sicherheitslücken mit Wirkung auf Internet-Maßstab aufdecken könne, dieselben Fähigkeiten aber auch Angreifern helfen könnten, rasch offensive Werkzeuge und Exploits zu entwickeln. OpenAI erklärte, das Modell GPT-5.6 Sol sowie weitere KI-Werkzeuge hätten eine Schlüsselrolle bei der Entdeckung der Schwachstellen gespielt. Wiz erklärte in einem Blogbeitrag, bei 70 Prozent des betroffenen Internets könne die Wirkung von php2shell nicht überbewertet werden, und bezeichnete dies als KI-Wendepunkt. Wiz erklärte weiter, der verwundbare Code sei mehr als ein Jahrzehnt vorhanden gewesen; was KI verändert habe, sei die Fähigkeit, die Schwächen zu verstehen und daraus einen funktionierenden Exploit zu machen. OpenAI-Mitgründer und Präsident Greg Brockman sagte in einem Beitrag über die Entdeckung der Schwachstelle, PHP sei seine „erste Programmiersprache“ gewesen. OpenAI-Präsident Brockman wies in seinem Beitrag darauf hin, dass der schließlich gefundene Fehler seit 14 Jahren in PHP vorhanden gewesen sei. Gang Wang, außerordentlicher Professor für Informatik am Grainger College of Engineering der University of Illinois, sagte gegenüber Fortune, die Auswirkungen der PHP-Schwachstellen seien massiv und könnten zahlreiche Websites sofortigen Angriffen aussetzen, wenn sie nicht rechtzeitig gepatcht würden. David Nicol, Direktor des Information Trust Institute am Grainger College, sagte gegenüber Fortune, Angreifer könnten dies als Einstiegspunkt in das Netzwerk nutzen, das den Rechner hostet, und von dort aus potenziell Angriffe mit erheblichem Schaden ausführen. TJ Sayers, Senior Director of Threat Intelligence am Center for Internet Security, sagte gegenüber Fortune, php2shell zeige, wie KI verborgene Fehler aufdecken und komplexe Exploit-Ketten in praktische Angriffe verwandeln könne, was das potenzielle Risiko erhöhe. Ein Startup-Gründer berichtete, der PHP-Fehler sei „real bad“, und sagte, alle sollten „Angst haben“, nachdem Hacker nach seinen Angaben Quellcode gestohlen, Cookie-Daten offengelegt und Rechtsdokumente geleakt hatten.