KI spürt über zehn Jahre alte PHP-Lücke auf: Warum PHP2Shell auch gute Nachrichten hat

PHP-Sicherheitslücke PHP2Shell: Was das für Ihre Daten bedeutet – und wie KI half Wer am Mittwoch die Internetseite der Berliner Charité besuchen wollte, stand zeitweise vor verschlossenen digitalen Türen. Auch Behörden, Universitäten und Unternehmen schalteten ihre Webseiten vorsorglich ab. Der Grund: Zwei kritische Sicherheitslücken in PHP, einer der meistverwendeten Programmiersprachen des Internets.

Was nach einer großen Cyberattacke aussieht, war vielerorts jedoch eine bewusste Schutzmaßnahme. Die gute Nachricht: Sicherheitsupdates sind bereits verfügbar. Und die Geschichte hinter der Entdeckung zeigt, wie künstliche Intelligenz dabei helfen kann, selbst tief verborgene Fehler in wichtiger Software aufzuspüren.

Für private Internetnutzer stellt sich vor allem eine Frage: Sind persönliche Daten und Passwörter gefährdet?

Warum plötzlich so viele Webseiten betroffen sind PHP ist eine jener Technologien, die beinahe jeder nutzt, ohne ihren Namen zu kennen.

Die Programmiersprache arbeitet im Hintergrund zahlreicher Internetangebote. Sie hilft beispielsweise dabei, Bestellungen in Onlineshops zu verarbeiten, Nachrichtenportale mit Inhalten zu versorgen oder Informationen aus Datenbanken abzurufen.

Auch bekannte Systeme wie WordPress, Drupal und Joomla setzen auf PHP.

Entsprechend groß ist die Bedeutung einer Sicherheitslücke, die nicht nur eine einzelne Webseite, sondern die grundlegende Software betrifft.

Genau das ist bei „PHP2Shell“ passiert.

Hinter dem Namen verbergen sich zwei Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Sie betreffen den Umgang der Programmiersprache mit ihrem Arbeitsspeicher.

Vereinfacht gesagt: Wenn bei der Verarbeitung einer Anfrage bestimmte Fehler auftreten, kann PHP unter ungünstigen Umständen auf Speicherbereiche zugreifen, die nicht mehr gültig oder nicht vollständig vorbereitet sind.

Angreifer könnten solche Situationen gezielt auslösen, um vertrauliche Informationen auszulesen oder sogar eigenen Programmcode auf einem betroffenen Server auszuführen.

Besonders kritisch ist, dass dies unter bestimmten Voraussetzungen ohne vorherige Anmeldung möglich ist.

Beide Schwachstellen wurden mit 9,2 von 10 Punkten im internationalen Bewertungssystem CVSS 4.0 eingestuft. Damit zählen sie zur höchsten Risikokategorie.

Sind persönliche Daten und Passwörter gefährdet? Hier lohnt sich eine wichtige Unterscheidung.

Die Sicherheitslücken befinden sich auf den Servern der Webseiten – nicht unmittelbar auf den Smartphones, Tablets oder Computern der Besucher.

Wer eine möglicherweise betroffene Internetseite aufgerufen hat, muss deshalb nicht automatisch befürchten, dass sein eigenes Gerät infiziert wurde.

Allerdings können persönliche Informationen indirekt gefährdet sein.

Wenn es Angreifern gelingt, einen ungeschützten Server zu kompromittieren, könnten sie abhängig von den dortigen Zugriffsrechten und Sicherheitsmaßnahmen möglicherweise Kundendaten, Zugangsinformationen oder andere vertrauliche Inhalte auslesen.

Das bedeutet aber nicht, dass die Daten sämtlicher Nutzer betroffen sind.

Eine Sicherheitslücke ist zunächst eine technisch nachgewiesene Angriffsmöglichkeit. Ob sie tatsächlich ausgenutzt wurde und ob dabei Informationen abgeflossen sind, muss für jeden betroffenen Anbieter gesondert untersucht werden.

Nach der Veröffentlichung der Schwachstellen registrierte der Sicherheitsdienstleister Cloudflare bereits Millionen mutmaßlicher Angriffsversuche. Das verdeutlicht die Dringlichkeit der Sicherheitsupdates, erlaubt aber keine Aussage darüber, wie viele Angriffe erfolgreich waren.

Wie künstliche Intelligenz bei der Entdeckung half Besonders spannend ist die Vorgeschichte von PHP2Shell.

Die zugrunde liegenden Programmfehler waren teilweise schon seit vielen Jahren vorhanden. Bereits 2024 gab es bei einer Sicherheitsuntersuchung Hinweise auf Probleme in der Speicherverwaltung.

Ein konkreter Angriffsweg war damals allerdings noch nicht nachgewiesen. Die Entwicklung einer geeigneten Korrektur gestaltete sich schwierig und verzögerte sich.

Im Sommer 2026 gelang dann der entscheidende Fortschritt.

Forschungsteams der Sicherheitsunternehmen Wiz und Calif untersuchten PHP mithilfe leistungsfähiger KI-Modelle. Dabei konnten sie komplexe Fehlerzusammenhänge analysieren und konkrete Möglichkeiten zur Ausnutzung der Schwachstellen nachweisen.

Auch OpenAI war an der Forschung und Koordination beteiligt.

Was jahrelang als schwer greifbares technisches Problem im Programmcode verborgen geblieben war, ließ sich nun genauer untersuchen.

Dabei ist die Rolle der KI bemerkenswert: Sie half den Fachleuten, anspruchsvolle Untersuchungen schneller durchzuführen und mögliche Schwachstellen gezielter zu überprüfen.

Die Bewertung der Ergebnisse und die eigentlichen Sicherheitskorrekturen blieben jedoch Aufgaben menschlicher Experten.

Ein wichtiger Fortschritt für die Cybersicherheit – auch wenn dieselben KI-Fähigkeiten grundsätzlich von Angreifern missbraucht werden können.

Warum abgeschaltete Webseiten ein gutes Zeichen sein können Während viele Menschen am 21. Oktober vor nicht erreichbaren Webseiten saßen, arbeiteten im Hintergrund Administratoren daran, ihre Systeme zu schützen.

Die europäische Cybersicherheitsagentur ENISA empfahl betroffenen Organisationen, verfügbare Sicherheitsupdates schnellstmöglich einzuspielen.

Falls eine Aktualisierung nicht sofort möglich sei, sollten öffentlich erreichbare Anwendungen vorübergehend vom Internet getrennt werden.

Zahlreiche Einrichtungen folgten diesem vorsorglichen Ansatz.

Eine abgeschaltete Webseite ist daher nicht automatisch ein Hinweis auf einen erfolgreichen Hackerangriff. Sie kann vielmehr zeigen, dass ein Betreiber bewusst handelt, um Schäden zu verhindern.

Inzwischen sind viele der zuvor abgeschalteten Angebote wieder erreichbar.

Sicherheitsupdates sind da: Was Webseitenbetreiber wissen müssen Am 21. Oktober 2026 veröffentlichte das PHP-Entwicklerteam vier aktualisierte Versionen, die die beiden Sicherheitslücken schließen.

Die korrigierten Versionen lauten:

PHP 8.2.35 PHP 8.3.36 PHP 8.4.27 PHP 8.5.12 Wer eine Webseite oder einen Onlineshop betreibt, sollte prüfen lassen, ob die verwendete PHP-Installation bereits über den entsprechenden Schutz verfügt.

Bei älteren PHP-Versionen ist besondere Aufmerksamkeit erforderlich. Für einige nicht mehr regulär unterstützte Versionen stellen Linux-Distributionen oder spezialisierte Anbieter eigene Sicherheitskorrekturen zur Verfügung.

Wichtig ist außerdem: Ein Update von WordPress oder einem einzelnen Plugin ersetzt kein erforderliches PHP-Sicherheitsupdate.

Betreiber, die ihre Webseite über einen Hosting-Anbieter verwalten lassen, können dort nachfragen, ob die notwendigen Aktualisierungen bereits durchgeführt wurden.

Zusätzliche Sicherheitsmaßnahmen wie Web-Firewalls können Angriffsversuche erschweren. Nach Angaben des PHP-Projekts bieten sie jedoch keinen vollständigen Ersatz für die Installation der Korrekturen.

Sinnvoll ist darüber hinaus, die Serverprotokolle auf mögliche Angriffsversuche zu überprüfen. Denn ein Update verhindert zwar weitere Angriffe über die behobenen Fehler, macht einen möglicherweise bereits erfolgten Angriff aber nicht rückgängig.

Was private Internetnutzer jetzt tun sollten Für Menschen, die Webseiten lediglich besuchen, besteht aufgrund von PHP2Shell kein allgemeiner Grund, sämtliche Passwörter zu ändern oder das eigene Smartphone zurückzusetzen.

Einige grundlegende Sicherheitsmaßnahmen bleiben dennoch sinnvoll.

Dazu gehören unterschiedliche Passwörter für verschiedene Onlinekonten und eine aktivierte Zwei-Faktor-Authentifizierung, wo immer sie angeboten wird.

Besondere Vorsicht gilt bei E-Mails, die angeblich wegen der PHP-Sicherheitslücke zu einem sofortigen Passwortwechsel auffordern.

Solche Nachrichten können auch von Betrügern stammen. Wer unsicher ist, sollte die Internetseite des jeweiligen Anbieters direkt aufrufen, statt unbekannten Links zu folgen.

Sollte ein Unternehmen tatsächlich einen Datenabfluss feststellen, muss die Situation individuell bewertet werden. Dann kann auch ein gezielter Wechsel betroffener Zugangsdaten notwendig sein.

Was die Entdeckung für die Zukunft bedeutet Die Sicherheitslücken in PHP zeigen, wie anfällig selbst weitverbreitete und über viele Jahre entwickelte Software sein kann.

Gleichzeitig wird deutlich, wie viel sich in der Sicherheitsforschung verändert.

Leistungsfähige KI-Systeme helfen inzwischen dabei, komplizierte Programmabläufe zu untersuchen und Fehler zu erkennen, die bislang nur mit erheblichem Aufwand nachvollziehbar waren.

Mindestens ebenso wichtig ist die Zusammenarbeit dahinter: Sicherheitsforscher, PHP-Entwickler, Technologieunternehmen und staatliche Cybersicherheitsbehörden arbeiteten gemeinsam an der Veröffentlichung der Korrekturen und an zusätzlichen Schutzmaßnahmen.

Auch die PHP Foundation zieht Konsequenzen aus den früheren Verzögerungen und arbeitet daran, ihre Sicherheitsprozesse zu verbessern.

Die eigentliche gute Nachricht ist deshalb nicht, dass das Internet plötzlich sicher wäre. Sondern dass wir zunehmend bessere Werkzeuge und Strukturen entwickeln, um gefährliche Fehler zu entdecken und schneller zu beheben.

PHP2Shell bleibt für nicht aktualisierte Systeme eine ernsthafte Bedrohung. Doch die verfügbaren Sicherheitsupdates zeigen: Es gibt bereits eine wirksame technische Lösung.

Und manchmal steckt hinter einer vorübergehend geschlossenen Webseite eben keine digitale Katastrophe, sondern eine ziemlich vernünftige Vorsichtsmaßnahme.

Faktencheck Zwei kritische PHP-Schwachstellen ermöglichen unter bestimmten Bedingungen Angriffe auf Webserver. Updates sind seit dem 21. Oktober verfügbar. Für private Endgeräte besteht durch die PHP-Lücken keine direkte Gefahr.