Kritische PHP-Lücken: KI fand sie, das BACS warnt

Zwei kritische Sicherheitslücken im Kern von PHP betreffen laut Wiz fast alle Versionen seit PHP 5.4. KI-Modelle haben sie gefunden. Die PHP Foundation hat am 21. Oktober korrigierte Versionen veröffentlicht, das Bundesamt für Cybersicherheit (BACS) ruft Betreiber zum Handeln auf.

Was die Lücken können

Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und erreichen laut PHP Foundation einen CVSS-Wert von 9.2. Sie stecken in der Art, wie PHP mit schweren Fehlern wie Speichermangel umgeht: Der Interpreter kann danach beschädigte Zustände behalten, die ein späterer Request auf demselben Worker nutzt. Angreifer können daraus ohne Anmeldung eigenen Code ausführen. Laut Wiz hängt das nicht vom Code der Anwendung ab, selbst ein simples «Hello World» auf einer betroffenen Version kann angreifbar sein. Wiz zeigte funktionierende Angriffe gegen aktuelle Container-Images von WordPress, Drupal und Joomla. PHP läuft laut W3Techs auf rund 70 Prozent aller Websites.

Von KI gefunden

Das Sicherheitsunternehmen Calif fand eine der Lücken mit OpenAIs GPT-5.6 Sol im Programm «Patch the Planet». Wiz entdeckte die Lücken unabhängig davon mit seiner Plattform Wiz Atlas, Googles Gemini 4 Argon und GPT-5.6 Sol. Gemeldet wurden sie am 11. August (Calif und OpenAI) und am 24. August (Wiz). OpenAI schreibt, nach seinem Wissen habe KI die Lücken vor Angreifern gefunden. Die PHP-Entwickler fanden bei der Veröffentlichung keine funktionierenden Exploits. Der Zeitplan geriet allerdings ausser Kontrolle: Kennungen und ein Demo-Video tauchten schon am 20. Oktober im Netz auf, ein Sicherheitsanbieter veröffentlichte am 21. Oktober Images mit dem Fix vor Ablauf der Sperrfrist, und die Veröffentlichung wurde vorgezogen.

Was jetzt zu tun ist