Finanzinstitute und FinTech-Unternehmen stehen vor einer akuten Sicherheitsherausforderung. Am 21. Oktober 2026 wurden Notfall-Patches für zwei kritische Schwachstellen im PHP-Kern veröffentlicht, die unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 geführt werden. Die Sicherheitslücken ermöglichen die Ausführung von Schadcode aus der Ferne (Remote Code Execution, RCE) und weisen extrem hohe CVSS-Scores zwischen 9,2 und 9,8 auf. Entdeckt wurden die Verwundbarkeiten unter anderem durch automatisierte, KI-gestützte Code-Auditing-Werkzeuge von Spezialisten wie Calif, OpenAI und Wiz.
Die Dringlichkeit der Lage wird durch die breite Nutzung der betroffenen Webtechnologie verschärft. Schätzungsweise 69 Prozent aller serverseitigen Webanwendungen basieren auf PHP, darunter viele Kundenportale und Programmierschnittstellen von FinTechs und traditionellen Banken. Cloudflare-CEO Matthew Prince sowie Sicherheitsanalysten warnten in Branchen-Briefings, beispielsweise im Podcast Diet TBPN vom 22. Oktober, dass Angreifer bereits vor dem Ende des Sperrfrist-Embargos funktionierende Exploits im Umlauf hatten. Die IT-Abteilungen von Finanzinstituten prüfen daher seit Tagen im Eiltempo ihre Frontend- und API-Infrastrukturen.
Der Vorfall befeuert eine grundlegende Debatte über die Wechselwirkung zwischen künstlicher Intelligenz und bestehenden Software-Schulden. Armin Ronacher, Flask-Erfinder und CTO von Earendil, fand dazu deutliche Worte, die über Entwickler-Netzwerke rasch Verbreitung fanden. Er kommentierte, dass die Menschheit in den letzten 30 Jahren massenhaft schlechte Software geschrieben habe und das Universum die Branche nun dafür bestrafe. Nach Ronachers Einschätzung können autonome Analyse- und Programmieragenten strukturelle Schwächen gewachsener Systeme nicht einfach kaschieren, sondern potenzieren die Risiken verborgener Altlasten.
Gleichzeitig geraten die europäischen Banken von regulatorischer Seite unter Druck. Bis zum 31. Oktober 2026 müssen Institute im Euroraum nachweisen, wie sie Cyberrisiken durch generative und agentische KI absichern, wie es das EZB-Rundschreiben SSM-2026-0301 vorschreibt. Die Aufsicht verlangt konkrete Governance-Strukturen für Service-Accounts nicht-menschlicher Agenten, Systeme zur Erkennung von API-Drift sowie nachweisbare Kill-Switch-Routinen bei erratischem Modellverhalten. Die aktuellen PHP2Shell-Schwachstellen zeigen den Instituten drastisch auf, wie angreifbar die Schnittstellen zwischen autonomen Werkzeugen und Altsystemen in der Praxis sind.