Das Bundesamt für Sicherheit in der Informationstechnik hat am 21. und 22. Oktober 2026 die Warnstufe 3 ausgerufen, was der Alarmstufe Orange entspricht. Grund für den Schritt sind zwei kritische Zero-Day-Schwachstellen in der weitverbreiteten Web-Programmiersprache PHP, die unter der Bezeichnung PHP2Shell geführt werden. Die registrierten Lücken tragen die Bezeichnungen CVE-2026-109618 sowie CVE-2026-109619 und ermöglichen Angreifern eine unauthentifizierte Remote-Code-Ausführung. Zahlreiche Behörden, kommunale Portale sowie dutzende mittelständische E-Commerce- und Content-Plattformen im deutschsprachigen Raum wurden bereits vorsorglich vom Netz genommen, um Server-Übernahmen vor dem Einspielen von Notfall-Patches zu verhindern.
Besondere Brisanz erhält der Vorfall durch die direkte Beteiligung generativer Künstlicher Intelligenz auf beiden Seiten der IT-Sicherheit. BSI-Vizepräsident Thomas Caspers betonte, dass Cyberkriminelle zunehmend hochgradig automatisierte KI-Werkzeuge einsetzen, um Code-Änderungen in Sicherheitsupdates binnen weniger Stunden per automatisierter Diff-Analyse zu scannen. Aus den gewonnenen Erkenntnissen erzeugen diese Systeme funktionierende Angriffsmuster im Minutentakt. Parallel dazu spielten KI-Modelle, darunter Systeme aus der Sicherheitsforschung von OpenAI, jedoch auch eine zentrale Rolle bei der ursprünglichen Entdeckung der Schwachstellen.
Die PHP Foundation sah sich am 21. Oktober 2026 gezwungen, außerplanmäßige Sicherheitsaktualisierungen für mehrere Zweige bereitzustellen. Aktualisiert wurden die Versionen PHP 8.5.12, 8.4.27, 8.3.36 sowie 8.2.35. Normalerweise verbleibt Systemadministratoren nach einer solchen Veröffentlichung ein kurzes Zeitfenster zur Absicherung ihrer Infrastruktur. Im Fall von PHP2Shell gelangten technische Details durch einen vorzeitigen Embargo-Bruch jedoch vorab an die Öffentlichkeit, was zu einer unmittelbaren globalen Angriffswelle führte.
Das Ausmaß der Angriffe belegen offizielle Netzwerkmetriken, die Cloudflare-Chef Matthew Prince veröffentlichte. Bereits zehn Stunden vor dem offiziellen Erscheinen der Notfall-Patches registrierte das Netzwerk des Sicherheitsdienstleisters Tausende automatisierte Angriffsversuche weltweit. Innerhalb von nur 45 Minuten stieg das Aufkommen auf Zehntausende an, nach zwei Stunden wurden Hunderttausende Attacken verzeichnet. Inzwischen liegt die Zahl der weltweit registrierten Zugriffsversuche im Millionenbereich, da automatisierte Bots das Internet flächendeckend nach ungepatchten Servern scannen.
In der Entwicklergemeinschaft sorgt das Aufeinandertreffen von KI-Werkzeugen und jahrzehntealten Code-Basen für erhebliche Diskussionen. Armin Ronacher, der Schöpfer des Webframeworks Flask, verwies pointiert auf die strukturellen Altlasten der Softwareindustrie. Ronacher erklärte, so unterhaltsam KI auch sei, habe die IT-Welt in den vergangenen 30 Jahren extrem viel schlechte Software gebaut, und nun bestrafe das Universum die Branche für diese Versäumnisse. Die aktuelle Krise verdeutlicht, dass generative Werkzeuge das Zeitfenster zwischen der Entdeckung einer Schwachstelle und deren massenhafter Ausnutzung drastisch verkürzen.