Am 21. Oktober 2026 hat das PHP-Projekt zwei kritische Sicherheitslücken geschlossen, über die Angreifer ohne Passwort fremde Webserver übernehmen konnten. Betroffen war praktisch jede PHP-Installation, die aus dem Internet erreichbar ist, also auch viele Websites, Onlineshops und Kundenportale im Mittelstand. Gefunden wurden die Lücken mit Hilfe leistungsfähiger KI-Modelle. Wer heute Webanwendungen betreibt, sollte deshalb zwei Fragen beantworten können: Ist das Update eingespielt? Und wie schnell reagiert das eigene Unternehmen auf die nächste Warnung?

Die Lücken laufen unter den Kennungen CVE-2026-109618 und CVE-2026-109619. In Fachmedien werden sie zusammen „PHP2Shell“ genannt. Beide sind auf der üblichen Bewertungsskala CVSS mit 9,2 von 10 Punkten als kritisch eingestuft. Das BSI und CERT-EU, das Sicherheitsteam der EU-Institutionen, haben am selben Tag gewarnt.

Sind Ihre Systeme betroffen?

Geben Sie Ihre Domain oder die IP-Adresse Ihres Servers ein. Wir rufen die Startseite einmal ab und lesen die PHP-Version aus, die Ihr Server mitteilt.

Sie möchten Gewissheit oder Hilfe beim Update? Wir prüfen Ihre Systeme gründlich und helfen schnell.

Prüfung anfragen

Sicher sind die PHP-Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. Für PHP 8.1 und ältere Versionen veröffentlicht das PHP-Projekt keine Korrektur mehr. Hier helfen nur Nachbesserungen der jeweiligen Linux-Distribution oder der Umstieg auf eine aktuelle Version.

Für Kunden von AI Værk: Kein Grund zur Sorge

Der Schutz unserer Kunden hat für uns oberste Priorität. Alle Systeme, die wir betreuen, haben wir mit ständigen Sicherheitschecks im Blick. Bei PHP2Shell waren sie bereits abgesichert, bevor das Update erschien: Wo nötig, haben wir betroffene Funktionen vorübergehend abgeschaltet. Eine Minute nach der Veröffentlichung des Updates waren die Systeme unserer Kunden aktualisiert und wieder online. So gehen wir bei jedem Notfall vor: Wir schließen die Gefahr sofort und beheben das Problem anschließend nachhaltig.

Warum diese Lücken als kritisch gelten

PHP ist die Grundlage für einen großen Teil des Internets. WordPress, Drupal, die meisten Shopsysteme und viele Verwaltungswerkzeuge wie phpMyAdmin laufen darauf. Eine Lücke im Kern von PHP betrifft deshalb nicht eine einzelne Anwendung, sondern alles, was darauf aufbaut.

Entscheidend für die hohe Einstufung sind drei Punkte. Ein Angreifer braucht kein Benutzerkonto und kein Passwort. Niemand im Unternehmen muss auf einen Link klicken oder einen Anhang öffnen. Eine öffentlich erreichbare PHP-Seite genügt als Einstieg. Gelingt der Angriff, kann er auf dem Server eigene Befehle ausführen, Daten auslesen, Schadsoftware ablegen oder den Server für weitere Angriffe nutzen.

Nach Angaben der Entdecker ist jede PHP-Version der letzten zehn Jahre von mindestens einer der beiden Lücken betroffen, zurück bis PHP 5.4. Die Details sind zudem bereits am 20. Oktober durchgesickert, einen Tag vor dem offiziellen Update. Das BSI rät deshalb, die Updates sofort einzuspielen.

Die zwei Fehler verständlich erklärt

Speicherfehler bei Überschreiten des Speicherlimits (CVE-2026-109618). Jede Anfrage an einen PHP-Server darf nur eine festgelegte Menge Arbeitsspeicher belegen. Wird diese Grenze erreicht, bricht PHP die Anfrage ab. Genau beim Abbruch wurde der Speicher beschädigt. Ein Angreifer kann diesen Zustand gezielt herbeiführen, etwa mit sehr großen oder tief verschachtelten Formular- und Upload-Anfragen. Über den beschädigten Speicher lässt sich anschließend eigener Programmcode einschleusen.

Veraltete Daten zwischen zwei Anfragen (CVE-2026-109619). Ein Webserver beantwortet viele Anfragen nacheinander, häufig im selben Prozess. Dazwischen muss PHP seine internen Zwischenstände vollständig zurücksetzen. Das geschah nicht in jedem Fall. Eine neue Anfrage konnte dadurch auf Reste einer früheren Anfrage zugreifen, und auch das ließ sich bis zur Ausführung von fremdem Code ausbauen. Bestätigt ist das unter anderem für die eingebaute Fortschrittsanzeige bei Datei-Uploads. Eine weitere Ursache sind Fehlermeldungen, die PHP ausgibt, bevor eine Anfrage vollständig vorbereitet ist.

Beide Fehler stecken in Programmteilen, die nur in Ausnahmesituationen laufen. Gerade deshalb sind sie so lange unentdeckt geblieben: Im normalen Betrieb fallen sie nicht auf, und bei manuellen Prüfungen bekommen solche Randfälle selten die nötige Aufmerksamkeit.

Leistungsfähige KI findet Lücken, die jahrelang übersehen wurden

Kritische Fehler in PHP gab es auch früher. Neu ist, wie diese gefunden wurden. Das Sicherheitsunternehmen Wiz hat die Lücken nach eigenen Angaben mit Hilfe der KI-Modelle Gemini 4 Argon und GPT-5.6 Sol entdeckt. Die Modelle haben nicht nur den Fehler gefunden, sondern auch einen funktionierenden Angriff entwickelt, ihn an verschiedene PHP-Versionen angepasst und später die Korrektur geprüft.

Auch OpenAI berichtet über die Lücken. Das Sicherheitsteam Calif hat eine der beiden mit GPT-5.6 Sol gefunden, im Rahmen von OpenAIs Initiative „Patch the Planet“, die Betreuer von Open-Source-Software bei der Behebung solcher Funde unterstützt. OpenAI hat die Reaktion über zwei Monate mit den PHP-Entwicklern, Wiz, Cloudflare und Behörden abgestimmt und nennt PHP2Shell eines der folgenreichsten Sicherheitsprobleme seit Langem. Nach OpenAIs Kenntnis hat die KI die Lücken gefunden, bevor Angreifer es taten. So blieb Zeit, Korrekturen und Schutzmaßnahmen vorzubereiten.

Der Zeitplan zeigt die Geschwindigkeit. Am 19. August fanden die Forscher die erste Lücke, am 20. August lief der Angriff gegen Drupal, am 21. August gegen WordPress. Wiz schreibt, ein einzelner Forscher habe in einer Woche erledigt, wofür ein erstklassiges Team früher Monate gebraucht hätte.

Die PHP-Lücken sind kein Einzelfall. Im Lauf des Jahres werden immer mehr schwere Fehler in alter, weit verbreiteter Software mit KI gefunden. OpenAI schreibt, man habe bereits weitere schwere Lücken gefunden, und rechnet damit, dass solche Funde in den kommenden Monaten stark zunehmen. Für Unternehmen hat das zwei Folgen:

  • Sicherheitswarnungen kommen häufiger. Fehler, die seit Jahren im Code liegen, werden nun in kurzer Folge sichtbar.
  • Die Zeit zwischen Bekanntwerden und Angriff wird kürzer. Wenn Details wie bei PHP2Shell schon vor dem Patch kursieren, ist ein Update, das erst in der nächsten Wartungswoche eingespielt wird, zu spät.

Warum die Verteidigung dieselben Werkzeuge braucht

Wenn Angreifer mit leistungsfähiger KI in Tagen schaffen, wofür früher Monate nötig waren, reichen jährliche Prüfungen und manuelle Abläufe nicht mehr aus. Dieselben Modelle, die Lücken finden, können auch helfen, sie schneller zu schließen. Bei PHP2Shell hat genau das funktioniert: Die Lücken wurden gefunden, gemeldet und korrigiert, bevor sie breit ausgenutzt wurden.

Für ein mittelständisches Unternehmen lässt sich das in vier Schritte übersetzen.

  1. Erfassen Sie, was aus dem Internet erreichbar ist. Welche Server, Anwendungen und Softwareversionen laufen öffentlich? Ein KI-gestütztes Inventar hält diese Übersicht laufend aktuell, statt einmal im Jahr in einer Tabelle zu stehen.
  2. Bewerten Sie Warnungen in Minuten statt in Tagen. Wenn BSI oder CERT-EU warnen, muss schnell klar sein, ob und wo Sie betroffen sind. Ein KI-System kann die Warnung mit Ihrer Umgebung abgleichen und Sofortmaßnahmen vorschlagen, wie bei PHP2Shell das Abschalten der Upload-Fortschrittsanzeige.
  3. Lassen Sie den eigenen Code prüfen. Kundenportale, Shop-Erweiterungen und ältere interne Werkzeuge enthalten oft Fehler, die niemand gesucht hat. Leistungsfähige KI-Modelle können diese Anwendungen gezielt untersuchen, bevor es ein Angreifer tut.
  4. Spielen Sie Updates schnell und kontrolliert ein. Automatische Tests zeigen, ob ein Update etwas beeinträchtigt. Damit sinkt die Zeit bis zum Einspielen von Wochen auf Stunden.

Die Verantwortung bleibt dabei bei Menschen. Die KI liest, vergleicht, testet und schlägt vor. Ob ein Server vom Netz genommen oder ein Update außerhalb der Geschäftszeiten eingespielt wird, entscheidet jemand, der den Betrieb kennt.

Was Sie jetzt prüfen sollten

Fragen Sie Ihre IT oder Ihren Dienstleister, ob alle PHP-Installationen auf einer der korrigierten Versionen laufen. Denken Sie dabei auch an weniger sichtbare Stellen: Testsysteme, ältere Microsites, Docker-Container und Geräte mit eingebautem PHP wie manche Firewalls. Das BSI weist ausdrücklich darauf hin, dass diese eigene Updates brauchen.

Lässt sich ein System nicht sofort aktualisieren, empfiehlt CERT-EU, es vorübergehend vom Internet zu trennen. Prüfen Sie außerdem, ob es Hinweise auf einen Angriff gibt, etwa unbekannte Dateien im Webverzeichnis, ungewöhnliche Prozesse oder auffällige Zugriffe in den Protokollen.

AI Værk als Partner für Ihre Cybersicherheit

Wir arbeiten jeden Tag mit leistungsfähigen KI-Modellen und kennen deshalb beide Seiten: wie schnell diese Modelle Schwachstellen finden und wie man dieselbe Geschwindigkeit für die Verteidigung nutzt. Bei PHP2Shell waren die Systeme unserer Kunden schon vor dem Update abgesichert und eine Minute nach seiner Veröffentlichung aktualisiert. Diese Arbeitsweise bringen wir auch in Ihr Unternehmen.

Wenn Sie unsicher sind, ob Sie betroffen sind: Wir prüfen kurzfristig, wo PHP bei Ihnen eingesetzt wird, ob die Updates eingespielt sind und ob es Spuren eines Angriffs gibt. Sie erhalten eine klare Einschätzung in verständlicher Sprache und wissen danach, woran Sie sind.

Wenn bereits etwas passiert ist: Wir helfen schnell und ohne lange Vorlaufzeit. Wir grenzen den Schaden ein, bereinigen betroffene Systeme, finden die Ursache und stellen den Betrieb sicher wieder her. Je früher wir dazukommen, desto weniger geht verloren.

Wenn Sie vorbeugen möchten: Wir entwickeln mit Ihnen Lösungen, die Sicherheitswarnungen automatisch mit Ihrer Umgebung abgleichen, betroffene Systeme benennen und Gegenmaßnahmen vorschlagen. Ihre eigenen Anwendungen prüfen wir mit denselben Modellen, mit denen heute Lücken gefunden werden. So erfahren Sie von einer Schwachstelle, bevor ein Angreifer sie nutzt.

Ein Gespräch mit uns ist unkompliziert: Eine kurze Beschreibung Ihrer Systeme genügt. Zugangsdaten oder vertrauliche Unterlagen brauchen wir dafür nicht. Sicherheitslage besprechen.

Quellen und weiterführende Informationen

Häufige Fragen zu PHP2Shell

Ist meine WordPress-Website betroffen?

Wahrscheinlich ja, wenn sie auf einer PHP-Version vor dem Update vom 21. Oktober 2026 lief. Die Lücken liegen in PHP selbst, nicht in WordPress. Ein WordPress-Update allein schließt sie deshalb nicht. Entscheidend ist die PHP-Version auf dem Server.

Reicht es, wenn mein Hoster das Update einspielt?

Bei klassischem Webhosting übernimmt der Anbieter in der Regel die PHP-Version. Fragen Sie trotzdem nach, ob und wann das Update eingespielt wurde. Bei eigenen Servern, virtuellen Servern oder Containern sind Sie oder Ihr Dienstleister selbst verantwortlich.

Woran erkenne ich, ob mein Server angegriffen wurde?

Typische Hinweise sind unbekannte PHP-Dateien im Webverzeichnis, neu angelegte Benutzerkonten, ungewöhnliche Prozesse oder auffällige, sehr große Anfragen in den Zugriffsprotokollen. Ein unauffälliger Eindruck ist allerdings kein Beweis. Bei Unsicherheit sollte eine fachkundige Prüfung erfolgen.

Was mache ich, wenn ich PHP 8.1 oder älter einsetze?

Für diese Versionen gibt es vom PHP-Projekt keine Korrektur. Prüfen Sie, ob Ihre Linux-Distribution eine nachgebesserte Version bereitstellt. Andernfalls ist der Umstieg auf eine aktuelle PHP-Version nötig. Bis dahin sollte das System nicht öffentlich erreichbar sein.

Kann KI auch meine eigene Software auf Lücken prüfen?

Ja. Leistungsfähige KI-Modelle können Quellcode, Konfigurationen und Abhängigkeiten gezielt auf Schwachstellen untersuchen. Die Ergebnisse müssen von Fachleuten bewertet werden, weil nicht jeder Hinweis eine echte Lücke ist und nicht jede Lücke gleich dringend.