Die PHP Foundation hat außerplanmäßige Sicherheitsaktualisierungen für mehrere aktive Entwicklungszweige bereitgestellt. Betroffen von diesen Maßnahmen sind die Versionen PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 sowie PHP 8.2.35. Ziel der Veröffentlichung ist die Schließung zweier kritischer Schwachstellen, die unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 registriert wurden. Die Verwundbarkeiten ermöglichen unter dem Namen PHP2Shell die Ausführung von beliebigem Schadcode aus der Ferne und stellen damit eine erhebliche Bedrohung für Webserver dar.
Entdeckt wurden die gravierenden Speicherfehler von dem Sicherheitsforscher Ryan Austin. Bemerkenswert ist dabei vor allem die eingesetzte Methodik, denn Austin griff bei seiner Sicherheitsanalyse auf das KI-Modell GPT-5.6 Sol von OpenAI zurück. Die Fehler waren über Jahre hinweg unbemerkt im Quellcode der weit verbreiteten Skriptsprache verborgen geblieben. Der automatisierte Einsatz des KI-Modells erlaubte es, subtile Schwachstellen in den Tiefen der Speicherverwaltung aufzuspüren, die herkömmlichen Prüfverfahren zuvor entgangen waren.
Die Veröffentlichung der Patches erfolgte unter erheblichem Zeitdruck und deutlich früher als ursprünglich zwischen den Beteiligten vereinbart. Ein Bruch des vertraulichen Embargos durch externe Dienstleister zwang die Verantwortlichen der PHP Foundation zu einer sofortigen Reaktion. Da Details zu den Schwachstellen vorzeitig an die Öffentlichkeit gelangt waren, drohte eine rasche Ausnutzung durch Angreifer. Die Entwickler reagierten umgehend mit der Bereitstellung der korrigierten Versionen, um Systemadministratoren weltweit eine zeitnahe Absicherung zu ermöglichen.
Die als Remote Code Execution eingestuften Lücken zählen zu den gefährlichsten Klassen von Softwareschwachstellen in Webanwendungen. Angreifer können solche Schwachstellen nutzen, um ohne vorherige Authentifizierung Befehle auf Zielservern auszuführen und die Kontrolle über betroffene Systeme zu übernehmen. Da PHP einen großen Teil der weltweiten Internetinfrastruktur und Content-Management-Systeme antreibt, birgt jede ungepatchte Installation ein akutes Betriebsrisiko. Sicherheitsteams sind daher aufgerufen, die bereitgestellten Aktualisierungen ohne Verzögerung einzuspielen.
Der Fall PHP2Shell markiert einen wichtigen Moment bei der praktischen Nutzung moderner KI-Modelle in der Softwarearchitektur und Code-Auditing. Die Fähigkeit von GPT-5.6 Sol, komplexe Speicherverwaltungsfehler in historischem Code zu isolieren, demonstriert das enorme Potenzial von KI-Agenten für defensive Zwecke. Gleichzeitig verdeutlicht der Vorfall die logistischen Hürden des Schwachstellenmanagements in der Open-Source-Welt, wenn vertrauliche Informationsketten brechen und koordinierte Veröffentlichungszeitpläne kollabieren.