Die NSA hat Website-Betreibern mitgeteilt: Wenn sie PHP nicht sofort patchen können, sollten sie ihre Website vom Netz nehmen. Das hört man nicht alle Tage über eine Programmiersprache, an die die meisten seit ihrer letzten WordPress-Installation nicht mehr gedacht haben. Zugleich bringt es gut auf den Punkt, wie ernst die beiden neu bekannt gewordenen PHP-Lücken genommen werden.
Das Überraschende ist, wie sie ans Licht kamen. Beide wurden mit KI gefunden, und dieselbe KI ist der Grund, warum sie als gefährlich gelten.
Was gefunden wurde
Die PHP Foundation hat Patches für zwei kritische Sicherheitslücken veröffentlicht, die unter CVE-2026-109618 und CVE-2026-109619 geführt werden. Beide erreichen auf der CVSS 4.0-Skala einen Wert von 9,2 von 10. Den Berichten zufolge ermöglichen sie es Angreifern, aus der Ferne beliebigen Code auf einem Server auszuführen. Einem Bericht zufolge öffnen sie den Zugang zum Dateisystem des Servers oder zu einer Datenbank, die von der Webanwendung genutzt wird.
Ein Bericht besagt außerdem, dass die Fehler seit der 2004 veröffentlichten Version 5 in jeder PHP-Version stecken. Zwei Jahrzehnte sind eine lange Zeit, um etwas so Schwerwiegendes zu übersehen – das macht die Erklärung weiter unten umso interessanter.
PHP ist kein Nischenwerkzeug. Einer Schätzung zufolge laufen rund 70 % aller Websites damit, nach manchen Zählungen mehr als 33 Millionen Websites. Es bildet die Grundlage beliebter Content-Management-Systeme, darunter WordPress. Daher der Ton der NSA.
Wie KI sie gefunden hat
Zwei Gruppen stießen auf die Lücken, teilweise unabhängig voneinander.
- Die Initiative von OpenAI. Das auf Sicherheitstests spezialisierte Unternehmen Calif beteiligte sich an der Initiative "Patch the Planet" von OpenAI, die Sicherheitslücken in Open-Source-Software aufspüren soll. Mithilfe von GPT-5.6 Sol fand es eine der Lücken, und OpenAI machte dies in einem Blogbeitrag öffentlich.
- Die Arbeit von Wiz. Unabhängig davon suchte das Team von Wiz (der Sicherheitssparte von Google) mit KI nach PHP-Fehlern. Zu seinem Werkzeugkasten gehörten der Sicherheitsagent Wiz Atlas, Gemini 4 Argon und GPT-5.6 Sol. Einem Bericht zufolge kamen dabei mehrere Sicherheitslücken ans Licht, was nicht ganz zu den beiden hervorgehobenen CVEs passt. Aus den Quellen geht nicht hervor, wie die zusätzlichen Funde den beiden gepatchten Lücken zuzuordnen sind.
Beide hielten sich an das übliche Verfahren der verantwortungsvollen Offenlegung. Sie arbeiteten mit dem PHP-Team an Korrekturen, bevor sie etwas öffentlich machten, und holten dann zahlreiche weitere Beteiligte hinzu, um die Befunde genauer auszuarbeiten und die Patches zu testen. Wiz bedankte sich bei Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft und Vercel.
Laut OpenAI entdeckten Forschende die Lücken vor den Hackern. Zum Zeitpunkt der Bekanntgaben habe es keine Berichte über eine Ausnutzung in freier Wildbahn gegeben.
Wo die gute Nachricht einen Haken hat
Es gibt einen Grund, warum diese Fehler seit 2004 überdauert haben. Vor dem Einsatz von KI war es für Angreifer Berichten zufolge zu schwierig, sie zuverlässig auszunutzen. Wiz formulierte es im eigenen Bericht unverblümt: Mit KI ist diese Hürde verschwunden, weil große Sprachmodelle dabei helfen können, einen Exploit an unterschiedliche PHP-Versionen, Konfigurationen und Speicherlayouts anzupassen.
KI hat also das Problem gefunden, KI hat es gefährlich gemacht, und KI steht vermutlich auch denjenigen zur Verfügung, die die Offenlegung lesen. Ein schön geschlossener Kreis, wenn auch kein beruhigender.
Die praktische Folge ist ein Wettlauf. Die Lücken sind jetzt öffentlich bekannt, Angreifer wissen also, wo sie suchen müssen, und zig Millionen Websites müssen aktualisiert werden, bevor die Angreifer zur Tat schreiten. Die Empfehlung der NSA, eine nicht patchbare Website lieber offline zu nehmen, ist die logische Konsequenz.
Was gepatcht werden muss – und auf welche Version
Die Korrekturen wurden in mehreren Release-Zweigen veröffentlicht.
| Zweig | Version mit Fix |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Ein Bericht nennt 8.5.12 als aktuelle Version und empfiehlt den Wechsel darauf. Linux-Distributionen und Plattformen mit Langzeitunterstützung dürften eigene aktualisierte Pakete bereitstellen. Viele Administratoren werden den Fix daher über ihren gewohnten Paketmanager erhalten, statt ihn manuell einzuspielen.
PHP 8.1 und ältere Versionen werden nicht mehr unterstützt. Wer sie noch nutzt, hat deshalb mehr zu tun. Ein Bericht ergänzt eine Nuance: Das Hauptprojekt veröffentlicht für diese Zweige keine regelmäßigen Updates mehr, doch für einige davon wurden separate Korrekturen vorbereitet. Prüfe das, bevor du davon ausgehst, dass es für dich keine Lösung gibt – und ebenso, bevor du annimmst, dass alles in Ordnung ist.
Falls ein sofortiges Update nicht möglich ist, haben die PHP-Entwickler vorübergehende Maßnahmen zur Risikominderung vorgeschlagen. Sie weisen ausdrücklich darauf hin, dass diese keinen vollständigen Schutz bieten. Stell sie dir wie einen Sicherheitsgurt in einem Auto vor, mit dem du eigentlich noch nicht fahren solltest.
Was ist mit WordPress
Da WordPress auf PHP läuft, gab es Befürchtungen, es handele sich um einen WordPress-Fehler. WordPress hat klargestellt, dass das nicht der Fall ist. Die Lücke steckt in der Laufzeitumgebung der Sprache, nicht im CMS. Website-Betreiber müssen ihre Server patchen und gemeinsam mit ihren Hosting-Anbietern sicherstellen, dass der Fix eingespielt wird. Wer Managed Hosting nutzt, muss also beim Anbieter nachfragen, statt an Plugins herumzuschrauben.
Offene Fragen und widersprüchliche Signale
Die Berichte stimmen nicht vollständig überein, und bei einigen Punkten ist Vorsicht geboten.
- Status der Ausnutzung. Laut OpenAI wurden die Lücken zum Zeitpunkt ihrer Offenlegung nicht in freier Wildbahn ausgenutzt. Ein anderer Bericht verweist auf frühere Diskussionen im Netz über ein Tool namens PHP2Shell, das angeblich die Ausführung beliebigen Codes auf Websites mit verbreiteten CMS und Web-Frameworks ermöglicht. Die Quellen stellen keinen Zusammenhang mit diesen CVEs her und bestätigen auch nicht, dass das Tool funktioniert. Behandle das daher als unbestätigte Behauptung.
- Websites in Europa gehen offline. Ein Bericht erwähnt, dass einige Behörden und andere Organisationen in Europa ihre Websites vorsorglich vorübergehend vom Netz nahmen. Das entspricht der Empfehlung der NSA, doch die Quellen nennen weder Namen noch Zahlen.
- Ausmaß in Russland. Valentin Malykh, Leiter des Entwicklungszentrums für große Sprachmodelle bei MWS AI, erklärte gegenüber der russischen Presse, dass Zehntausende Angebote im Runet gefährdet sein könnten. Das ist die Schätzung eines einzelnen Experten, nicht das Ergebnis einer Zählung.
- Ausmaß des Schadens. Ein Bericht beschreibt den Zugriff auf das Dateisystem oder die Datenbank, ein anderer die Ausführung beliebigen Codes aus der Ferne. Wahrscheinlich sind das zwei Beschreibungen derselben Zugriffsmöglichkeit, doch die Quellen stellen diesen Zusammenhang nicht ausdrücklich her.
Was diese Woche zu tun ist
- Ermittle deine PHP-Version. Wenn du sie nicht kennst, ist das das erste Problem.
- Aktualisiere auf eine Version mit Fix. Verwende 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 beziehungsweise das gepatchte Paket deiner Distribution.
- Eskaliere das Thema, wenn du noch 8.1 oder älter nutzt. Suche nach rückportierten Fixes und plane ein richtiges Upgrade.
- Frag deinen Hosting-Anbieter. Vor allem, wenn du WordPress auf Managed Hosting betreibst.
- Nimm die Website notfalls offline. Die NSA meint es ernst.
Die ganze Geschichte hat etwas dezent Komisches. Zwanzig Jahre lang war der beste Schutz vor einer kritischen Sicherheitslücke der Umstand, dass ihre Ausnutzung mühsam war. Dann entwickelten die Maschinen Geduld und fanden sie zuerst. Jetzt müssen alle anderen schneller sein als die Maschinen – eine härtere Deadline, als irgendein Change-Management-Kalender je vorgesehen hat.