Eine Lücke in PHP gefährdet Millionen Websites

Das Team hinter PHP, der Programmiersprache, mit der ein großer Teil des Webs läuft, hat am Mittwoch, dem 21. Oktober 2026, Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht. Die Lücken werden als CVE-2026-109618 und CVE-2026-109619 geführt und jeweils mit 9,2 von 10 Punkten auf der CVSS-Skala bewertet. Forscher haben ihnen den Spitznamen „php2shell“ gegeben.

PHP läuft schätzungsweise auf 70 bis 80 % der Websites, deren Serversprache bekannt ist, darunter Seiten, die mit WordPress, Drupal, Joomla und Laravel erstellt wurden. Laut Forschern könnten Angreifer über die Lücken Code auf einem Webserver ausführen und die Kontrolle darüber übernehmen. Mehr als 1,3 Millionen mit dem Internet verbundene Server könnten betroffen sein.

Die Lücken wurden mithilfe künstlicher Intelligenz gefunden. Die Sicherheitsfirma Calif entdeckte eine davon mit einem Modell von OpenAI, und Wiz erklärte, es habe mit KI-Werkzeugen von OpenAI, Google und eigenen Tools mehrere Speichersicherheitsfehler in PHP gefunden. Laut Wiz macht KI es leichter, solch komplexe Fehler auszunutzen.

Sicherheitsbehörden, darunter CERT-EU und das britische National Cyber Security Centre, riefen Organisationen auf, schnell zu aktualisieren oder ihre Websites vom Internet zu trennen, falls ein sofortiges Update nicht möglich ist. Zum Zeitpunkt der Berichte erklärte die US-Behörde CISA, sie habe keine Angriffe über die Lücken beobachtet, während einige Firmen meldeten, dass Angreifer das Internet nach nicht aktualisierten Servern durchsuchten.

Viele Server könnten angreifbar bleiben: Rund 758.000 Server, die ihre PHP-Version anzeigen, nutzen ältere Versionen, die keine Sicherheitsupdates mehr erhalten.