Am 21. Oktober 2026 haben Sicherheitsforscher zwei gravierende Schwachstellen im C-Kern der weit verbreiteten Skriptsprache PHP publik gemacht. Die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 registrierten Fehler erreichen einen kritischen Bedrohungswert von CVSS 9.2 und ermöglichen unbefugten Angreifern das Ausführen von Schadcode aus der Ferne. Da die Lücken sämtliche Versionen von PHP 5.4 bis einschließlich 8.5 betreffen, sind Schätzungen zufolge rund 70 Prozent aller weltweit aktiven Webserver potenziell angreifbar. Die Veröffentlichung löste umgehend internationale Sicherheitswarnungen und koordinierte Abwehrmaßnahmen bei Hostern und Behörden aus.
Die zugrundeliegenden Speicherverwaltungsfehler, konkret Out-of-Memory- und Use-after-Free-Zustände, lagen seit 14 Jahren unbemerkt im Quellcode des Projekts. Aufgespürt wurden die Schwachstellen nicht durch herkömmliche statische Analysen, sondern durch Sicherheitsexperten der Unternehmen Calif und Wiz. Die Forscher setzten dabei gezielt auf das Reasoning-Modell GPT-5.6 Sol, um historische C-Quelltexte tiefgreifend auf logische Fehlpfade bei der Speicherallokation zu überprüfen. Dieser Erfolg demonstriert, mit welcher Genauigkeit moderne Inferenzmodelle selbst jahrzehntealte Schwachstellen in zentralen Komponenten der Internetinfrastruktur aufdecken können.
Unmittelbar nach Bekanntwerden der Sicherheitslücken verzeichneten Betreiber von Schutzsystemen eine massive Welle automatisierter Ausbeutungsversuche. Matthew Prince, der CEO des Sicherheits- und Netzwerkkonzerns Cloudflare, berichtete von einer beispiellosen Zuspitzung der Lage. Bereits vor der offiziellen Offenlegung registrierte Cloudflare Tausende verdächtige Zugriffe, die sich innerhalb von nur 45 Minuten nach der Publikation auf Zehntausende vervielfachten. Am 22. Oktober 2026 stiegen die Messungen schließlich auf Millionen automatisierter Angriffe an, bei denen Angreifer gezielt nach ungepatchten PHP-Instanzen suchten.
Angesichts des enormen Risikos zogen mehrere Behörden weltweit vorsorglich gefährdete behördliche Online-Dienste vorübergehend vollständig vom Netz. Das PHP-Entwicklerteam reagierte zeitgleich mit der Veröffentlichung von Notfall-Patches für alle derzeit unterstützten Versionslinien. Bereitgestellt wurden die Updates PHP 8.2.35, 8.3.36, 8.4.27 sowie 8.5.12, um die Speicherlöcher im C-Kern wirksam zu schließen. Administratoren rund um den Globus wurden dringend angewiesen, diese Sicherheitsaktualisierungen unverzüglich einzuspielen oder veraltete PHP-Versionen hinter strikten Firewalls zu isolieren.
Der Vorfall verdeutlicht eine fundamentale Verschiebung in der Cybersicherheit, wie auch Entwickler Armin Ronacher in seiner Analyse der Lage hervorhob. Autonome KI-Agenten und reasoningfähige Sprachmodelle durchforsten zunehmend eigenständig Open-Source-Repositorien und decken historische Defekte im Code auf, die menschlichen Prüfern über Generationen hinweg verborgen blieben. Für Softwarebetreiber und Sicherheitsabteilungen bedeutet dies einen permanenten Wettlauf gegen die Zeit. Die Zeitspanne zwischen der computergestützten Entdeckung einer Sicherheitslücke und ihrer weltweiten Ausbeutung durch automatisierte Systeme schrumpft zusehends auf wenige Minuten zusammen.