PHP-Sicherheitslücke PHP2Shell: BSI warnt, KI half mit

Am Mittwoch, dem 21. Oktober 2026, hat das PHP-Projekt Updates für alle unterstützten Versionen veröffentlicht, laut PHP Foundation einen Tag früher als geplant. Das BSI hat dazu eine eigene Warnung herausgegeben. Für dich ist das relevant, wenn du eine Website mit WordPress, einen Onlineshop oder eine andere PHP-Software betreibst. Und interessant, weil KI-Modelle beim Fund eine wichtige Rolle gespielt haben.

Was ist bei PHP2Shell passiert?

Das PHP-Projekt hat am 21. Oktober 2026 die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei Schwachstellen, die laut php.net „unauthentifizierte Remote Code Execution“ ermöglichen können. Heißt: Ein Angreifer braucht keinen Login und kann im schlimmsten Fall eigenen Code auf deinem Webserver ausführen.

Die beiden Lücken tragen die Nummern CVE-2026-109618 und CVE-2026-109619. Beide sind mit einem CVSS-4.0-Wert von 9,2 als kritisch eingestuft. In manchen Meldungen war zunächst von 10,0 die Rede, die PHP Foundation stellt klar, dass das falsch war.

Technisch geht es um zwei Speicherfehler:

• CVE-2026-109618: Wenn PHP bei einer Anfrage der Speicher ausgeht, kann die Verarbeitung an einer Stelle abbrechen, an der interne Daten nur halb vorbereitet sind. Beim Aufräumen behandelt PHP diese Daten dann als gültig (php.net).
• CVE-2026-109619: Ein späterer Request im selben PHP-Prozess kann auf Speicher zugreifen, der schon freigegeben wurde (GitHub-Advisory).

Betroffen sind laut php.net alle PHP-Installationen, die Web-Anfragen beantworten: PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das PHP-Projekt bei mod_php. Wiz schreibt, die Fehler steckten seit mehr als einem Jahrzehnt im Code, betroffen sei auch PHP 5.4. Im Labor hat Wiz Angriffe gegen aktuelle Container-Images von WordPress, Drupal und Joomla gezeigt.

Was sagt das BSI?

Die Cybersicherheitswarnung 2026-297981-1032 des BSI liegt inzwischen in Version 1.2 vom 22. Oktober 2026 vor, mit zwei Updates vom 21. und 22. Oktober. Der Name „PHP2Shell“ sei laut BSI bewusst an „Log4Shell“ angelehnt. Weder eine Anmeldung noch eine Mitwirkung von Nutzern sei für einen Angriff nötig. Eine bestätigte Ausnutzung lag dem BSI zum Zeitpunkt der Warnung nicht vor, es gebe aber unbestätigte Berichte über existierende Exploits. Die Empfehlung: Patch sofort einspielen.

Welche Rolle hat KI beim Fund gespielt?

Laut BSI haben Wiz und Calif die Lücken gemeinsam mit OpenAI entdeckt. Die beteiligten Firmen beschreiben den KI-Anteil unterschiedlich:

• Wiz nennt im eigenen Blogpost die Modelle Gemini 4 Argon und GPT-5.6 Sol sowie das eigene Tool Wiz Atlas. Gemini 4 Argon habe einen „unschätzbaren Beitrag“ zum Fund geleistet und bei Exploit-Entwicklung und Patch-Prüfung geholfen.
• Calif schreibt im eigenen Bericht, das Team sei am 30. Juli 2026 in OpenAIs Initiative „Patch the Planet“ eingeladen worden, habe am 1. August die ersten Fehler gefunden und am 11. August den ersten an PHP gemeldet. Ein konkretes Modell nennt Calif nicht, nur einen „Agenten“. Dazu eine nüchterne Einordnung: Kein Modell finde mit einfachen Prompts „alle Bugs“, Wissen über die Geschichte des Zielsystems bleibe entscheidend.
• Die PHP Foundation berichtet, dass KI-gestützte Forschung die Zahl der Meldungen stark erhöht hat: 15 CVEs seit dem 1. Juli und über 100 Meldungen, die ungültig, doppelt oder nicht nachvollziehbar waren. KI helfe beim Prüfen, aber jede Entscheidung und jeder Patch liege bei einem Menschen.

Das ist die eigentliche Nachricht für mich: KI findet Lücken, die Menschen über Jahre übersehen haben. Das hilft den Verteidigern, aber dieselben Werkzeuge stehen auch Angreifern zur Verfügung. Die Zeit zwischen Veröffentlichung und Angriff wird kürzer. Wenn du wissen willst, wie gut aktuelle Modelle Code lesen und schreiben, findest du im Vergleich welche KI am besten zum Programmieren ist eine Einordnung.

Was es für dich bedeutet

Wenn du als Selbstständige, Gründer oder kleines Team eine Website betreibst, läuft sie sehr wahrscheinlich auf PHP. WordPress, WooCommerce, Shopware, Joomla, Drupal und viele Buchungs- oder Kontaktformular-Systeme sind PHP-Software. Wichtig: Die Lücke steckt in PHP selbst, nicht in WordPress. Ein Klick auf „WordPress aktualisieren“ löst das Problem nicht.

1. Finde heraus, wer zuständig ist. Bei Shared Hosting spielt der Hoster die Systemupdates ein, auf einem VPS liegt das in deiner Verantwortung, so beschreibt es etwa der Hosting-Anbieter OuiHeberg.

2. Frag beim Hoster nach. Zum Beispiel so:

Hallo, betrifft PHP2Shell (CVE-2026-109618 und CVE-2026-109619):
Läuft meine Website [Domain] bereits auf einer gepatchten PHP-Version
(8.5.12, 8.4.27, 8.3.36 oder 8.2.35)? Falls nein: Wann wird aktualisiert?

3. Prüf deine PHP-Version. Steht im Kundenbereich deines Hosters eine Version unter den gepatchten, stell auf eine aktuelle um. WordPress empfiehlt PHP 8.3 oder neuer (Stand: Oktober 2026).

4. Achtung bei alten Versionen. PHP 8.1 und älter bekommt laut php.net keine Updates mehr vom PHP-Projekt. Manche Linux-Distributionen liefern eigene Backports, sonst hilft nur der Umstieg auf eine unterstützte Version. Und wer jetzt auf PHP 8.2 wechselt, sollte wissen: Ab dem 31. Dezember 2026 gibt es auch dafür keine Sicherheitsfixes mehr. Plan also gleich 8.3 oder neuer ein und teste vorher, ob Theme und Plugins mitspielen.

5. Notlösungen sind keine Lösung. Das PHP-Projekt nennt auf php.net einige Einstellungen für den Fall, dass ein Update nicht sofort möglich ist, etwa das Abschalten von session.upload_progress. Es schreibt aber ausdrücklich, dass sie das Update nicht ersetzen und die Installation nicht sicher machen.

Falls du deine Website mit einem Baukasten oder per KI gebaut hast, lohnt ein Blick, worauf sie technisch läuft. In meinem Ratgeber zum Thema Website mit KI erstellen erkläre ich die Unterschiede zwischen gehosteten Baukästen und eigener Software. Und wer mit Vibe Coding eigene Tools baut: Auch selbst gebauter Code läuft auf einer Laufzeitumgebung, die jemand aktuell halten muss.

Quellen

• PHP-Projekt, Sicherheitsrelease vom 21. Oktober 2026: php.net
• BSI, Cybersicherheitswarnung „PHP – Kritische Schwachstellen bedrohen Webanwendungen weltweit“, Version 1.2: bsi.bund.de
• GitHub-Advisory CVE-2026-109618: GHSA-w8hw-w9fx-j79w
• GitHub-Advisory CVE-2026-109619: GHSA-6wmf-4rv5-p3rp
• PHP Foundation zum Sicherheitsrelease: thephp.foundation
• Wiz Research zu PHP2Shell: wiz.io
• Calif zu PHP2Shell: calif.io
• WordPress-Systemanforderungen: wordpress.org
• OuiHeberg, VPS oder Shared Hosting: ouiheberg.com

Häufige Fragen

Ist meine WordPress-Seite von PHP2Shell betroffen?

Wahrscheinlich ja, wenn sie noch nicht auf einer gepatchten PHP-Version läuft. Die Lücke steckt in PHP selbst, nicht in WordPress. Ein WordPress-Update allein reicht deshalb nicht, die PHP-Version auf dem Server muss aktualisiert werden.

Welche PHP-Version ist sicher?

Laut PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 oder neuer. Ältere Versionen derselben Reihen sind betroffen. PHP 8.1 und älter pflegt das PHP-Projekt nicht mehr.

Muss ich das PHP-Update selbst machen oder macht das mein Hoster?

Bei Shared Hosting spielt in der Regel der Hoster die Systemupdates ein. Auf einem VPS liegt das in deiner eigenen Verantwortung. Wenn du nicht sicher bist, frag beim Support nach, ob die gepatchte Version schon läuft.

Reicht es, PHP-Einstellungen zu ändern statt zu updaten?

Nein. Das PHP-Projekt nennt einige Einstellungen als Notlösung, sagt aber ausdrücklich, dass sie das Update nicht ersetzen und die Installation nicht sicher machen.