PHP2Shell, die Lücken CVE-2026-109618 und CVE-2026-109619, wurden mit Hilfe von KI Modellen entdeckt. Beteiligt waren die Sicherheitsfirmen Calif und Wiz sowie OpenAI. Der zugrunde liegende Fehler steckt laut den Forschern seit PHP 5.4 im Interpreter. Dieser Beitrag fasst zusammen, wer was gefunden hat, welche Modelle eingesetzt wurden und was das für Entwicklerteams bedeutet.
PHP2Shell im eigenen Projekt noch offen?
Wir helfen beim PHP Update, sichern es mit Tests ab und finden einen Weg für alte Versionen ohne offiziellen Fix.
Der Fehler war seit Jahren bekannt
Kern von PHP2Shell ist ein Problem bei Speichermangel. Bricht ein Request ab, weil das Memory Limit erreicht ist, bleiben interne Daten halb initialisiert zurück. Laut Calif wurde diese Schwäche bereits 2020 gefunden und 2024 bei einem Audit erneut entdeckt. Sie galt als Absturzrisiko, nicht als Weg zur Code Ausführung.
Der Grund ist der Aufwand. Aus dem Speicherfehler echte Code Ausführung zu machen, erfordert eine lange Kette präziser Schritte. Wiz beschreibt diese Arbeit als „at the edge of what human researchers could practically achieve“.
Zeitplan der Entdeckung
| Datum 2026 | Ereignis |
|---|---|
| 30. Juli | Calif startet ein Audit des PHP Quellcodes, finanziert über Patch the Planet von OpenAI |
| 11. August | Calif meldet den ersten Fehler an das PHP Team |
| 14. August | Calif liefert einen Proof of Concept für Code Ausführung |
| 19. August | Wiz findet unabhängig dieselbe Fehlerklasse |
| 20. und 21. August | Wiz validiert die Code Ausführung gegen Drupal und WordPress |
| 24. August | Wiz meldet die Lücken an PHP |
| 20. Oktober | Informationen sickern durch, PHP kündigt das Security Release an |
| 21. Oktober | Release von PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, einen Tag früher als geplant |
Eingesetzte KI Modelle
- Calif: GPT-5.6 Sol von OpenAI. Der Forscher Ryan Austin formulierte die Hypothese zu den Speicherfehlern, die KI suchte nach seinen Vorgaben verwandte Fehlerpfade.
- Wiz: die eigene Plattform Wiz Atlas zusammen mit Gemini 4 Argon und GPT-5.6 Sol. Laut Wiz Research unterstützte KI bei Entdeckung, Exploit Entwicklung, Angriffserkennung und Patch Prüfung.
- OpenAI: das Codex Security Team arbeitete mit Calif und dem PHP Team an Koordination und Behebung.
Die Fixes selbst schrieben die PHP Maintainer. Die PHP Foundation nennt Calif, OpenAI und Wiz gemeinsam als Entdecker.
Welche Rolle KI wirklich gespielt hat
Die Berichte der beteiligten Teams beschreiben keine autonome KI, die Lücken selbstständig findet. Menschen haben Hypothesen aufgestellt, die Analyse gesteuert und Ergebnisse geprüft. KI hat die Analyse beschleunigt und den Aufwand für die Angriffskette deutlich gesenkt. Wiz spricht von einem Wendepunkt für die Sicherheitsforschung und vergleicht PHP2Shell mit Heartbleed.
Die Kehrseite: Dieselben Werkzeuge stehen auch Angreifern zur Verfügung. Laut Amazon Threat Intelligence gab es einen ersten Angriffsversuch bereits am 17. Oktober, vier Tage vor dem Patch. Ein erfolgreicher Angriff ist bisher nicht öffentlich bestätigt.
Konsequenzen für Entwicklerteams
- Schneller updaten: Wenn Angriffe vor dem Patch beginnen, muss ein Sicherheitsupdate in Stunden live sein. Das gelingt mit einer Pipeline, die Updates automatisch vorschlägt und mit PHPUnit, PHPStan und E2E Tests absichert.
- Alte Versionen ablösen: Fehler, die heute als harmlos gelten, können mit besseren Modellen ausnutzbar werden. Ein geplantes PHP Update senkt dieses Risiko dauerhaft.
- KI im eigenen Code absichern: Dieselben Modelle schreiben in vielen Teams Code. Ohne Tests und klare Regeln entstehen neue Schwächen. Mehr dazu im Beitrag Warum KI Guardrails mit jedem besseren Modell wertvoller werden.
Weiterführende Beiträge
Die Update Anleitung mit Docker, PECL und alten Versionen steht unter PHP Sicherheitslücke Oktober 2026. Wie der Angriff technisch funktioniert, erklärt der Beitrag zum PHP2Shell Exploit. Die Einordnung von Michael Kraft zu Legacy Software findet ihr unter Climate Change in PHP.
KI nutzen, ohne die Kontrolle zu verlieren
Wir bringen eure PHP Projekte auf eine Version mit Support und bauen eine Pipeline mit Tests und klaren Regeln, die schnelle Updates und KI gestützte Entwicklung sicher macht.
Das Kennenlernen ist kostenlos. Danach schätzen wir den Aufwand und rechnen transparent nach Minuten ab.
