Eine schwerwiegende Sicherheitslücke in der Programmiersprache PHP hat weltweit Alarm ausgelöst. Millionen Websites könnten von zwei Schwachstellen betroffen sein, die es Angreifern unter bestimmten Bedingungen ermöglichen, ohne Anmeldung Schadcode auf fremden Servern auszuführen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und europäische Sicherheitsbehörden warnen vor erheblichen Risiken. Besonders bemerkenswert: Künstliche Intelligenz spielte eine wichtige Rolle bei der Entdeckung und Analyse der Sicherheitsprobleme. Der Vorfall wirft damit eine grundlegende Frage auf: Ist die technische Infrastruktur des Internets ausreichend auf das KI-Zeitalter vorbereitet?
Zwei Sicherheitslücken gefährden weltweit Webserver
Am 21. Oktober 2026 veröffentlichte das PHP-Entwicklerteam außerplanmäßige Sicherheitsupdates für zwei als kritisch eingestufte Schwachstellen.
Sie werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt und sind gemeinsam unter der Bezeichnung „PHP2Shell“ bekannt geworden.
Beide Schwachstellen erhielten einen Schweregrad von 9,2 auf einer Skala bis 10.
Das besondere Risiko besteht darin, dass Angreifer unter bestimmten Voraussetzungen aus der Ferne eigenen Programmcode auf betroffenen Servern ausführen können, ohne sich zuvor anmelden zu müssen.
Eine erfolgreiche Attacke könnte es ermöglichen, vertrauliche Informationen auszulesen, Dateien zu verändern oder weitere Schadsoftware einzuschleusen.
Ob ein einzelner Server tatsächlich angegriffen werden kann, hängt unter anderem von seiner PHP-Version und technischen Konfiguration ab.
Warum so viele Websites betroffen sein könnten
PHP gehört seit Jahrzehnten zu den wichtigsten Programmiersprachen des Internets.
Sie wird eingesetzt, um dynamische Websites, Onlineshops, Nachrichtenportale und Verwaltungsanwendungen zu betreiben.
Besonders bekannt ist PHP als technische Grundlage des Content-Management-Systems WordPress.
Aber auch Drupal, Joomla und zahlreiche weitere Anwendungen nutzen die Programmiersprache.
Nach Schätzungen basiert ein erheblicher Teil aller Websites auf PHP-Technologie.
Das bedeutet jedoch nicht, dass sämtliche dieser Websites automatisch verwundbar sind.
Entscheidend ist, welche Version eingesetzt wird, ob die Sicherheitsupdates bereits installiert wurden und welche Schutzmaßnahmen auf dem jeweiligen Server aktiv sind.
Die Verbreitung von PHP macht die beiden Schwachstellen dennoch zu einem internationalen Sicherheitsproblem.
Bundesamt warnt vor außergewöhnlich hoher Gefahr
Das Bundesamt für Sicherheit in der Informationstechnik bewertete die Bedrohung in einer offiziellen Warnung vom 21. Oktober als besonders ernst.
Die Behörde stufte das Risiko mit Warnstufe 3, Orange, ein.
Damit verbindet sich die Aufforderung an Betreiber betroffener Systeme, unverzüglich Gegenmaßnahmen zu ergreifen.
Auch das europäische Computer Emergency Response Team CERT-EU und die EU-Agentur für Cybersicherheit ENISA veröffentlichten dringende Sicherheitshinweise.
Die Behörden raten dazu, betroffene PHP-Installationen möglichst schnell zu aktualisieren.
Falls ein Update nicht zeitnah möglich ist, sollen gefährdete Anwendungen gegebenenfalls vorübergehend vom öffentlichen Internet getrennt werden.
Besonders wichtig ist dies bei Servern, die ohne zusätzliche Zugangsbeschränkungen direkt erreichbar sind.
Künstliche Intelligenz half bei der Entdeckung
Eine außergewöhnliche Rolle spielte bei der Aufdeckung der Schwachstellen der Einsatz künstlicher Intelligenz.
Nach Angaben von OpenAI und Google unterstützten moderne KI-Modelle Sicherheitsforscher dabei, problematische Programmabläufe zu erkennen und mögliche Angriffsszenarien zu untersuchen.
Das Sicherheitsunternehmen Wiz entdeckte und meldete die kritischen Schwachstellen ebenfalls.
OpenAI berichtete, dass im Rahmen seiner Initiative „Patch the Planet“ ein eigenes KI-gestütztes Sicherheitssystem einen schwerwiegenden Fehler identifiziert habe.
Google erklärte, dass das Modell Gemini 4 Argon wichtige Beiträge bei der Untersuchung der Schwachstellen, der Entwicklung von Testangriffen und der Überprüfung der Sicherheitskorrekturen geleistet habe.
Die PHP-Entwickler arbeiteten gemeinsam mit Sicherheitsforschern und Technologieunternehmen an der Behebung der Probleme.
Damit zeigt der Vorfall, wie künstliche Intelligenz bereits heute die Suche nach Sicherheitslücken verändert.
Warum KI zugleich zur Gefahr werden kann
Die neuen technischen Möglichkeiten helfen allerdings nicht ausschließlich den Verteidigern.
Auch Kriminelle können künstliche Intelligenz einsetzen, um Software nach Sicherheitsfehlern zu durchsuchen und mögliche Angriffsmethoden zu entwickeln.
Aufwendige Analysen von Programmcode, für die früher spezialisierte Fachleute viel Zeit benötigten, lassen sich teilweise erheblich beschleunigen.
Besonders problematisch ist das bei weit verbreiteten Softwarekomponenten.
Wird dort eine kritische Schwachstelle entdeckt, können potenziell sehr viele Betreiber gleichzeitig betroffen sein.
Die Veröffentlichung technischer Details und funktionsfähiger Angriffsdemonstrationen erhöht den Zeitdruck zusätzlich.
CERT-EU warnte bereits am 21. Oktober davor, dass erste Demonstrationen zur praktischen Ausnutzung der Schwachstellen öffentlich kursieren.
Ob und in welchem Umfang bereits erfolgreiche kriminelle Angriffe stattgefunden haben, lässt sich aus der bloßen Veröffentlichung solcher Programme allerdings nicht ableiten.
Die Entwicklung zeigt dennoch, dass sich das Tempo des digitalen Wettrüstens erhöht.
Schwachstellen hängen mit der Speicherverwaltung zusammen
Technisch beruhen die beiden Fehler auf Problemen bei der internen Speicherverwaltung von PHP.
Die erste Schwachstelle betrifft Situationen, in denen einem PHP-Prozess der verfügbare Arbeitsspeicher ausgeht.
Unter bestimmten Bedingungen kann die Verarbeitung einer Anfrage dabei unterbrochen werden, während interne Datenstrukturen noch nicht vollständig eingerichtet sind.
Werden diese Daten anschließend fehlerhaft bereinigt, können Speicherbereiche beschädigt werden.
Die zweite Schwachstelle betrifft interne Zustände, die nach einem schweren Programmfehler erhalten bleiben können, obwohl der zugehörige Speicher bereits freigegeben wurde.
Bei späteren Anfragen kann dies dazu führen, dass auf ungültige Speicherbereiche zugegriffen wird.
Beide Fehler können unter geeigneten Umständen zur Ausführung fremden Programmcodes führen.
Das macht sie besonders gefährlich, weil eine Sicherheitslücke auf Ebene der Programmiersprache zahlreiche unterschiedliche Webanwendungen betreffen kann.
Sicherheitsupdates stehen bereits zur Verfügung
Das PHP-Projekt reagierte mit neuen Programmversionen, in denen die beiden bekannten Schwachstellen geschlossen wurden.
Für unterstützte Entwicklungszweige stehen seit dem 21. Oktober folgende aktualisierte Versionen bereit:
• PHP 8.5.12 • PHP 8.4.27 • PHP 8.3.36 • PHP 8.2.35
Betreiber sollten prüfen, welche PHP-Version auf ihren Servern eingesetzt wird und ob die erforderlichen Korrekturen bereits installiert wurden.
Bei älteren Versionen ist besondere Vorsicht geboten.
PHP 8.1 und frühere Entwicklungszweige werden vom offiziellen PHP-Projekt nicht mehr regulär unterstützt. Einzelne Betriebssystemanbieter stellen allerdings weiterhin eigene Sicherheitskorrekturen bereit.
Deshalb kommt es nicht ausschließlich auf die angezeigte Versionsnummer an, sondern auch darauf, ob der jeweilige Anbieter die notwendigen Sicherheitsupdates eingepflegt hat.
Deutsche Hosting-Anbieter reagieren
Auch in Deutschland mussten Hosting-Unternehmen kurzfristig auf die Bedrohung reagieren.
Der Anbieter netcup trennte zeitweise betroffene Webhosting-Angebote vorsorglich vom Internet, um mögliche Angriffe vor der Installation der Sicherheitsupdates zu verhindern.
Der Internetdienstleister IONOS erklärte dagegen, die offiziellen Korrekturen bereits auf allen selbst betriebenen Plattformen installiert zu haben.
Zu den von IONOS geschützten Angeboten gehören nach Unternehmensangaben unter anderem Webhosting, Managed WordPress und weitere verwaltete Anwendungen.
Kunden, die eigene virtuelle oder dedizierte Server betreiben, müssen sich jedoch selbst um die notwendigen Updates kümmern.
Die unterschiedlichen Maßnahmen zeigen, dass es bei einer großen Sicherheitslücke nicht nur um die technische Fehlerbehebung geht.
Ebenso wichtig ist die Frage, wie schnell Betreiber reagieren und welche Sicherheitsvorkehrungen bereits vorhanden sind.
Was bedeutet die Sicherheitslücke für normale Internetnutzer?
Für Menschen, die lediglich Websites besuchen, entsteht durch die beiden PHP-Schwachstellen nicht automatisch eine unmittelbare Gefährdung ihres eigenen Computers oder Smartphones.
Das Risiko liegt zunächst auf der Seite der Webserver.
Werden diese erfolgreich angegriffen, könnten allerdings persönliche Daten, Kundeninformationen oder andere gespeicherte Inhalte betroffen sein.
Bei einem kompromittierten Onlineshop oder einer angegriffenen Verwaltungsplattform könnten dadurch auch Nutzer indirekt geschädigt werden.
Ob Daten tatsächlich abgeflossen sind, muss für jeden betroffenen Dienst gesondert untersucht werden.
Die bloße Nutzung von PHP ist kein Hinweis darauf, dass eine Website bereits gehackt wurde.
Für Verbraucher bleibt wichtig, auf seriöse Sicherheitsmeldungen der genutzten Dienste zu achten.
Zugleich warnen Hosting-Anbieter vor betrügerischen E-Mails, die die aktuelle Sicherheitslage ausnutzen, um Nutzer zur Preisgabe von Zugangsdaten zu bewegen.
Europa verschärft Sicherheitsanforderungen
Der Vorfall fällt in eine Phase, in der die Europäische Union ihre Anforderungen an die Sicherheit digitaler Produkte ausweitet.
Mit dem Cyber Resilience Act sollen Hersteller stärker verpflichtet werden, Sicherheitsrisiken bereits bei der Entwicklung zu berücksichtigen und Schwachstellen während des Produktlebenszyklus zu beheben.
Seit September 2026 gelten bestimmte Meldepflichten für aktiv ausgenutzte Sicherheitslücken.
Die wesentlichen Cybersicherheitsanforderungen des Gesetzes werden ab Dezember 2027 anwendbar.
Damit soll erreicht werden, dass Sicherheitsprobleme schneller erkannt und behoben werden und digitale Produkte langfristig besser geschützt sind.
Der aktuelle PHP-Vorfall verdeutlicht, warum solche Regelungen an Bedeutung gewinnen.
Viele Unternehmen und öffentliche Einrichtungen sind auf Software angewiesen, deren technische Grundlagen von vergleichsweise kleinen Entwicklergemeinschaften gepflegt werden.
Ist das Internet auf das KI-Zeitalter vorbereitet?
Die Sicherheitslücken in PHP sind nicht der Beweis dafür, dass das gesamte Internet grundsätzlich unsicher ist.
Sie zeigen jedoch, wie stark die digitale Infrastruktur von gemeinsam genutzten Softwarekomponenten abhängt.
Ein Fehler in einer weit verbreiteten Programmiersprache kann gleichzeitig Behörden, Unternehmen, Medienhäuser und private Websitebetreiber betreffen.
Künstliche Intelligenz verändert diese Situation zusätzlich.
Sie kann Sicherheitsforschern helfen, Fehler schneller zu entdecken und zu beheben. Zugleich kann sie die technischen Hürden für Angreifer senken.
Entscheidend wird deshalb sein, ob Betreiber von Internetdiensten bei Sicherheitsupdates, Systemüberwachung und technischer Vorsorge mit dieser Entwicklung Schritt halten können.
Die beiden kritischen PHP-Schwachstellen machen deutlich: Im KI-Zeitalter reicht es nicht mehr aus, Software nur zu entwickeln und dauerhaft zu betreiben.
Sie muss kontinuierlich überprüft, aktualisiert und gegen neue Angriffsmöglichkeiten abgesichert werden.
