KI fand sie zuerst: PHP stopft zwei kritische Lücken – EU rät notfalls zum Abschalten
Zwei Fehler in PHP erlauben Angreifern, ohne Anmeldung Code auf Servern auszuführen. Entdeckt wurden sie mit KI-Hilfe. Behörden drängen zum sofortigen Update.
Symbolbild · Foto: Ron23545 / Wikimedia Commons, CC BY-SA 4.0 (zugeschnitten und skaliert)
Die Entwickler der Programmiersprache PHP haben am Mittwoch Notfall-Updates für zwei kritische Sicherheitslücken veröffentlicht (CVE-2026-109618 und CVE-2026-109619). Beide Speicherfehler werden auf der CVSS-4-Skala mit 9,2 bewertet: Angreifer können damit ohne Anmeldung Schadcode auf nahezu jedem PHP-Server ausführen. Behoben sind sie in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35; für die nicht mehr unterstützten Zweige 7.4 bis 8.1 gibt es nachgereichte Korrekturen. PHP läuft laut der Sicherheitsfirma Wiz auf rund 70 Prozent aller Websites.
Gefunden hat den ersten Fehler bereits im August die Firma Calif – mit OpenAIs Modell GPT-5.6 Sol, bei einer von OpenAIs Programm „Patch the Planet“ finanzierten Prüfung des PHP-Quellcodes. Wiz entdeckte die Lücken Wochen später unabhängig davon, ebenfalls mit KI-Unterstützung, und verglich sie mit Heartbleed und Log4Shell. OpenAI sprach von einem der folgenreichsten Sicherheitsprobleme seit Langem und rechnet damit, dass solche Funde in den kommenden Monaten stark zunehmen.
Das EU-Cybersicherheitsteam CERT-EU riet, Websites notfalls vom Netz zu nehmen, wenn sie nicht sofort aktualisiert werden können; ähnlich äußerte sich Großbritanniens NCSC, Australiens Cyberbehörde ACSC mahnte, Patches vorzubereiten. Cloudflare aktivierte bereits Stunden vor der Veröffentlichung Firewall-Regeln für alle Kunden, nannte diese aber nur eine Notlösung. Wordfence warnt: Automatische WordPress-Updates schließen die Lücke nicht – das PHP auf dem Server selbst muss aktualisiert werden.