PHP2Shell: Wiz zufolge half KI, kritische Remote-Code-Lücken in PHP aufzuspüren

Lücken in PHP selbst, nicht in Anwendungen

Laut Wiz läuft PHP auf 70 Prozent aller Websites weltweit, darunter WordPress, Joomla, Drupal und Wikipedias MediaWiki. Die gemeldeten Schwachstellen liegen in der Kern-Engine, unabhängig von der darauf laufenden Anwendung. Wiz zufolge kann schon eine simple „Hello World“-Anwendung auf einer betroffenen PHP-Version angreifbar sein.

Die Probleme wurden in zwei CVEs zusammengefasst, mit einem Schweregrad von bis zu CVSS 9,2. Wiz zufolge ist jede PHP-Version der vergangenen zehn Jahre von mindestens einer davon betroffen, zurück bis Version 5.4. Bei erfolgreicher Ausnutzung könnten Angreifer Server übernehmen, sensible Daten stehlen und Websites verunstalten. Außerdem seien die Lücken aus der Ferne ausnutzbar, in manchen Fällen recht einfach.

Ein Angreifer könnte zudem den Prozessspeicher auslesen, ohne Code auszuführen. Dieser Speicher kann laut Wiz Passwörter, Authentifizierungs-Tokens, API-Schlüssel und Zertifikate enthalten, die zu anderen Anfragen oder zum Server selbst gehören.

So funktionieren die Bugs

Wiz beschreibt alle offengelegten Lücken als Speichersicherheitsprobleme, die daraus entstehen, wie PHP bei der Verarbeitung von Anfragen mit schwerwiegenden Fehlern umgeht, insbesondere mit Out-of-Memory-Fehlern. Solche Fehler können einen beschädigten internen Zustand zurücklassen, wenn eine Anfrage unerwartet endet. Eine spätere Anfrage oder ein anderer Worker kann diesen veralteten Zustand wiederverwenden, was zu Speicherlecks oder Speicherbeschädigung führt.

Wiz meldete PHP vier ausnutzbare Bugs:

• CVE-2026-109618: ein Use-after-free im Unserializer für den Upload-Fortschritt, der das Auslesen des Prozessspeichers aus der Ferne und laut Wiz auch Codeausführung erlaubt. Wiz demonstrierte RCE ohne Authentifizierung bei WordPress, Drupal und Joomla.
• CVE-2026-109619: ein Use-after-free im Backtrace bei schwerwiegenden Fehlern sowie eine Type Confusion im OPcache, mit denen ein Angreifer den Prozess- oder gemeinsam genutzten PHP-Zustand beschädigen und Code ausführen kann. Wiz demonstrierte RCE ohne Authentifizierung bei Drupal und WordPress.

Wiz kombinierte die Bugs in einem Exploit-Skript namens php2shell und testete es gegen die damals neuesten Container-Images von WordPress, Drupal und Joomla. Es gebe weitere erfasste und wohl auch noch nicht erfasste Varianten, doch der PHP-Patch behebe das Problem an der Wurzel und beseitige alle Varianten im gepatchten Release.

Die Rolle der KI

Wiz zufolge existierten die zugrunde liegenden Fehler seit Jahrzehnten, der Nachweis ihrer Ausnutzbarkeit erforderte jedoch eine außergewöhnlich komplexe Kette von Schritten, an der Grenze dessen, was menschliche Forscher praktisch leisten können. Exploits müssen mehrere Bugs verketten und sich an Speicherlayout, PHP-Version und Konfiguration des jeweiligen Ziels anpassen, was normalerweise wiederholtes Testen und Debuggen verlangt.

Laut Wiz machten Frontier-Modelle das praktikabel: Das Team konnte funktionierende Exploits für mehrere Anwendungen binnen Stunden entwickeln und anpassen. Das Unternehmen nutzte Wiz Atlas, Gemini 4 Argon und GPT-5.6 Sol und gibt an, Gemini 4 Argon habe zum Auffinden der Schwachstelle, zur Exploit-Entwicklung, zur Angriffserkennung und zur Patch-Validierung beigetragen.

Wiz vergleicht den Fall mit Heartbleed 2014 und Log4Shell 2021 und sagt, PHP2Shell könne eine ähnliche Zäsur für das KI-Zeitalter markieren. Wenn der nötige Zeit- und Wissensaufwand sinke, sei Komplexität möglicherweise keine nennenswerte Hürde mehr. Raluca Ada Popa, Head of Gemini Security bei Google DeepMind, wird mit den Worten zitiert: „Wir freuen uns zu sehen, dass Gemini 4 Argon Verteidigern hilft, diese Lücke zu schließen, Schwachstellen zu finden und beim Patchen zu unterstützen.“

Was das für Website-Betreiber bedeutet

Der praktische Rat von Wiz lautet, sofort zu patchen. Wer das nicht kann, findet Hilfe bei Anleitungen und sofort einsetzbaren Gegenmaßnahmen, die laut Wiz unter anderem Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft, Vercel und weitere vorbereitet haben. Wiz würdigt zudem das PHP-Team, Calif und OpenAI für Entdeckung, Koordination und Patch-Verifizierung und weist darauf hin, dass OpenAI, Calif und PHP eigene Beiträge mit technischen Details veröffentlicht haben.

Wiz-Kunden verweist das Unternehmen auf seinen Hinweis im Threat Intel Center, der Schwachstellenerkennung, Erkennung von Ausnutzung und Reaktionsrichtlinien abdeckt. Da die Lücken in PHP selbst liegen, schützt sicherer Anwendungscode allein eine Website nicht, entscheidend ist die eingesetzte PHP-Version.