PHPocalypse: Verkettete PHP-Lücken gefährden 70 % des Webs

Zwei verkettete Schwachstellen im PHP-Kern mit einem CVSS-Score von 9,2 ermöglichen die Ausführung von Code auf Standardinstallationen von WordPress und Drupal. Der fehlerhafte Codeabschnitt lag mehr als ein Jahrzehnt lang im offenen Repository der Sprache.

Die Lücke heißt PHP2Shell – und das ist keine Metapher. Zwei verkettete Schwachstellen in der Engine, die einen Großteil des Webs trägt, ermöglichen es einem Angreifer, ohne Zugangsdaten Code auf standardmäßigen und aktuellen WordPress- und Drupal-Servern auszuführen. Der Fehler steckte seit mehr als zehn Jahren im offenen PHP-Repository, sichtbar für Tausende Entwickler – gefunden hat ihn eine künstliche Intelligenz.

## Was ist PHP2Shell und wen betrifft es?

PHP ist weder die modernste noch die eleganteste Sprache, aber sie ist das unsichtbare Fundament des Netzes. Laut den Metriken von **W3Techs** laufen rund **75 %** der Webseiten mit bekannter Serverumgebung auf diesem Ökosystem. WordPress, das mehr als **40 %** des Internets betreibt, baut darauf auf. Ebenso Drupal, Joomla und Magento. Ein struktureller Riss im Kern ist damit kein technisches Problem mehr, sondern ein Vorfall kritischer Infrastruktur.

Der technische Name des Ganzen sind zwei kritische, verkettete Schwachstellen mit einem **CVSS-Score von 9,2**, katalogisiert als **CVE-2026-109618** und **CVE-2026-109619**. Die erste nutzt eine Speicherkorruption aus, die durch Ressourcenerschöpfung bei der Verarbeitung von Anfragen entsteht, und öffnet die Tür zur Remote-Code-Ausführung ohne Zugangsdaten. Die zweite exploitet einen veralteten Rest globaler Zustände zwischen aufeinanderfolgenden Anfragen, wodurch sich Prozessspeicher auslesen oder die Kontrolle über den Server festigen lässt.

Einzeln betrachtet hat jedes Teil seine eigene Logik. Zusammen, in einer ganz bestimmten Ereignisfolge, bilden sie einen einzigen Angriffsvektor. Den Forschungsteams gelang der Nachweis der Remote-Code-Ausführung gegen standardmäßige und aktuelle WordPress- und Drupal-Installationen. Der verwundbare Codeabschnitt existierte seit Version 5 im PHP-Repository.

## Drei Funde, ein Leak und Notfall-Patches

Die Chronologie ist wichtig, weil sie den Paradigmenwechsel erklärt. Anfang August identifizierten Analysten des Sicherheitsunternehmens **Calif** die erste Anomalie mit dem Modell **GPT-5.6 Sol** im Rahmen der Initiative Patch the Planet von **OpenAI**. Fast zeitgleich und ohne vorherige Kommunikation entdeckte das Forschungsteam von **Wiz** Mitte des Monats denselben Vektor, indem es seine eigenen Analyse-Engines mit **Gemini** und GPT kombinierte. Zwei verschiedene Organisationen, mit unterschiedlichen Spitzentools, stießen mit wenigen Tagen Abstand auf denselben Fehler.

Die **PHP Foundation**, OpenAI, **Google**, Calif und **Cloudflare** planten eine koordinierte Offenlegung, während sie die Patches vorbereiteten. Das Drehbuch flog am **20. Oktober** auf: Die technischen Details gelangten vorzeitig ins Netz. Die Reaktion erfolgte umgehend. Die PHP Foundation brachte die Veröffentlichung ihrer Notfallversionen vor: **PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35**. Internationale Behörden und Firewall-Hersteller gaben Warnungen höchster Priorität heraus, damit die Patches eingespielt oder exponierte Dienste isoliert wurden.

## Warum ein Jahrzehnt menschlicher Prüfung den Fehler übersah

Die Frage drängt sich auf: Wie entgeht einem der aktivsten Entwickler-Communities des Planeten ein solcher Fehler? Die Antwort liegt in der Natur des Fehlers. Es war weder ein Tippfehler noch ein Syntaxversehen in einer Zeile. Die Lücke entstand aus dem Zusammenspiel von vier Subsystemen: dem Speichermanagement bei überschrittenen Grenzen, der Sitzungsverfolgung, der Behandlung fataler Fehler und dem internen Opcode-Cache.

Einzeln analysiert funktionierte jedes Modul wie vorgesehen. Unter einer bestimmten Ereignisfolge kollidierten sie in einem ausnutzbaren Pfad. Hier hat die Maschine den Vorteil: Ein Reasoning-Modell wird nicht müde, trifft keine Annahmen aus Gewohnheit und behält Dutzende Zustandsübergänge gleichzeitig im Blick. Die KI hat den Code nicht Zeile für Zeile gelesen; sie verstand den systemischen Zusammenhang und modellierte einen Pfad, der einen menschlichen Analysten Monate fast blinden manuellen Testens gekostet hätte.

## Das Rennen gegen die Zeit endet nicht mit dem Patch

Mit mehr als **20 Millionen** exponierten Umgebungen im Netz löst die Veröffentlichung der Korrektur das Problem nicht schlagartig. Sie ist nur der Startschuss. In den Stunden nach dem Leak vermehrten sich Repositories mit Proof-of-Concept-Codes und Testumgebungen. Das Zeitfenster zwischen der Ankündigung und der massenhaften Aktualisierung der Server ist das übliche Jagdrevier der Angreifer.

Der Hintergrund reicht über diesen Patch hinaus. Der Abstand zwischen dem Auffinden einer Schwachstelle und einem funktionierenden Exploit hat sich auf wenige Stunden verkürzt, und dieselbe KI, die bei der Code-Audit hilft, kann auch die Erzeugung von Angriffen automatisieren. Wenn PHP ein Jahrzehnt lang eine kritische Lücke verbarg, ist anzunehmen, dass andere essenzielle Open-Source-Komponenten ähnliche Grauzonen bergen. Die klassische Asymmetrie besteht weiterhin, nun beschleunigt: Wer verteidigt, muss alle Flanken abdecken und dafür sorgen, dass Millionen Administratoren rechtzeitig aktualisieren; wer angreift, braucht nur eine einzige nachlässige Installation.

Diesmal kam die defensive Koordination rechtzeitig, um die Korrekturen zu veröffentlichen, bevor massive Eindringlingskampagnen registriert wurden. Glück ist keine langfristige Sicherheitsstrategie. PHP2Shell schließt keinen Vorfall ab: Es eröffnet eine Ära, in der Maschinen die Schwächen finden, die wir hinterlassen haben – und worüber entschieden wird, ist, wer die Informationen einige Minuten früher verarbeitet. Wer einen PHP-Server betreibt, sollte die installierte Version prüfen und die veröffentlichten Updates einspielen; im Zweifelsfall einen Sicherheitsenssicherheit konsultieren.