OpenAI identifiziert kritische PHP-Sicherheitslücken und fordert sofortige Updates für Webseitenbetreiber

Am 21. Oktober 2026 gab OpenAI die Entdeckung von zwei kritischen Sicherheitslücken im PHP-Engine bekannt, die als CVE-2026-109618 und CVE-2026-109619 verfolgt werden. Diese Schwachstellen, die mit einem CVSS-Wert von 9,2 bewertet wurden, könnten Angreifern ermöglichen, Code aus der Ferne auf Servern ohne jegliche Authentifizierung auszuführen.

Die Sicherheitslücken resultieren aus Problemen mit der Speichersicherheit in PHP und betreffen Versionen, die bis zurück zu 5.4.0 reichen. Das bedeutet, dass eine erhebliche Anzahl von Webseiten, geschätzt auf 70 %, gefährdet sein könnte, einschließlich beliebter Plattformen wie WordPress und Drupal. Die Schwachstellen ermöglichen unbefugten Zugriff auf sensible Daten und die potenzielle Ausführung bösartiger Befehle.

OpenAI arbeitete mit Forschern von Calif und Wiz zusammen, um diese Sicherheitslücken zu identifizieren, die im August 2026 unabhängig auf WordPress und Drupal verifiziert wurden. Die Erkenntnisse waren Teil von OpenAIs Initiative „Patch the Planet“, die darauf abzielt, KI zu nutzen, um Sicherheitsanfälligkeiten zu identifizieren, bevor sie ausgenutzt werden können.

Als Reaktion auf die Sicherheitslücken haben die PHP-Wartungsteams Patches für die Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12 veröffentlicht. Neben der Bekanntgabe führte OpenAI ein Tool namens php2shell-checker ein, das es Webseitenbetreibern ermöglicht, ihre Verwundbarkeit zu bewerten, ohne Exploit-Verkehr zu senden.

Webseitenbetreiber werden dringend geraten, ihre PHP-Versionen zu überprüfen und auf die gepatchten Versionen zu aktualisieren, um potenzielle Sicherheitsvorfälle zu vermeiden, die das Vertrauen der Nutzer untergraben und zu erheblichen finanziellen Verlusten führen könnten.

Neue Fakten zu PHP-Sicherheitsanfälligkeiten

Am 21. Oktober veröffentlichte PHP Notfallkorrekturen für zwei kritische Sicherheitsanfälligkeiten, die als CVE-2026-109618 und CVE-2026-109619 identifiziert wurden. Diese Sicherheitsanfälligkeiten ermöglichen es nicht authentifizierten Angreifern, Code auf Webservern auszuführen.

Die Sicherheitsberatung des PHP-Teams hob die Dringlichkeit dieser Updates hervor, nachdem am 20. Oktober eine Vorwarnung ausgegeben wurde. Beide Sicherheitsanfälligkeiten wurden mit einem kritischen CVSS v4.0 Schweregrad bewertet, was Krypto-Sicherheitsexperten dazu veranlasste, Webbetreiber zu drängen, ihre Systeme zu patchen und übersehene Infrastrukturen zu überprüfen.

Neue Fakten zu PHP-Sicherheitsanfälligkeiten

• Ein kritischer PHP-Bug, PHP2Shell, ermöglicht es nicht authentifizierten Angreifern, Code auf Webservern aus der Ferne auszuführen.
• Diese Sicherheitsanfälligkeit betrifft etwa 70 % der Websites weltweit.
• Notfall-Patches wurden für PHP-Versionen 8.2 und neuer veröffentlicht, aber über ein Drittel der PHP-Websites bleibt ungepatcht.
• Mehr als 800.000 Internet-Hosts verwenden veraltete PHP-Versionen, die keine Patches erhalten werden.
• Die Sicherheitsanfälligkeiten sind als CVE-2026-109618 und CVE-2026-109619 identifiziert.
• Cloudflare hat Notfallmaßnahmen ergriffen und zusätzliche Patches als Reaktion auf die Sicherheitsanfälligkeiten angekündigt.
• Länder wie Finnland und die Niederlande haben Regierungswebsites vorsorglich offline genommen, um möglichen Ausnutzungen vorzubeugen.
• Geheilte PHP-Versionen umfassen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, dennoch arbeiten 27 % der PHP-Seiten weiterhin mit PHP 7 und 7,7 % mit PHP 5, die ungepatcht sind.