KI knackt 20 Jahre alten Code: Die PHP2Shell-Notfallpatches
Webserver-Rechte können übernommen werden, bevor anwendungseigener Code überhaupt ausgeführt wird. Ein direktes Laufzeit-Update und Konfigurationsprüfungen sind unverzichtbar.
Am 21. Oktober 2026 veröffentlichte das PHP-Entwicklungsteam außerplanmäßige Sicherheitsupdates, um schwerwiegende Mängel bei der Speicherverwaltung im Kern-Interpreter zu beheben. Die unter dem Namen „PHP2Shell“ zusammengefassten Schwachstellen (CVE-2026-109618 und CVE-2026-109619) weisen einen CVSS-v4.0-Score von 9,2 auf und gelten als kritische Lücken zur entfernten Codeausführung (Remote Code Execution, RCE). Über RCE können unauthentifizierte Angreifer beliebige Befehle mit den Rechten des Webservers absetzen.
Dass dieser Vorfall als Teil des sogenannten „Black October“ für Aufsehen sorgt, liegt an der massiven Rolle moderner Frontier-KI (die leistungsfähigsten KI-Modelle) auf beiden Seiten. Berichten von Cloudflare und Sicherheitsanalysten zufolge wurden automatisierte Angriffsskripte mithilfe fortschrittlicher Sprachmodelle generiert und noch vor dem koordinierten Patchday aktiv gegen Webserver weltweit eingesetzt. Die US-Behörde CISA nahm die Lücken unverzüglich in ihren KEV-Katalog (Known Exploited Vulnerabilities) auf. Ob eine staatliche APT-Gruppe hinter der automatisierten Welle steht, ist bislang nicht bestätigt.
Wie Frontier-KI Zero-Days im 20 Jahre alten PHP-Kern aufdeckte
Der fehlerhafte Code schlummerte seit PHP 5.x – also fast zwei Jahrzehnte lang – im C-Quelltext des Interpreters. Trotz zahlloser statischer Analysetools und manueller Sicherheitsaudits blieb der Pfad unentdeckt, da er tief in Ausnahmeroutinen und unvollständigem Error-Unwinding lag, die bei regulären Workloads kaum greifen.
Frontier-KI-Modelle mit riesigen Kontextfenstern haben die Spielregeln verändert. Autonome Code-Analyse-Agenten konnten den gesamten C-Kernbestand querprüfen, komplexe Zustandsautomaten durchleuchten und bisher verborgene Zero-Day-Lücken in Randfällen isolieren. Der Vorfall führt vor Augen, dass auch Angreifer dieselben KI-Modelle nutzen, um binnen Stunden funktionierende Exploits zu synthetisieren.
Wie PHP2Shell (CVE-2026-109618 und 109619) funktioniert und welche Wucht es entfaltet
Beide Lücken hängen mit der fehlerhaften Fehlerabwicklung über longjmp() im PHP-Interpreter zusammen.
CVE-2026-109618 betrifft die Behandlung von Speicherengpässen (Out of Memory, OOM). Tritt ein OOM auf, springt longjmp() abrupt heraus und hinterlässt Anfragespeicher im uninitialisierten Zustand. Durch manipulierte Anfragen lässt sich dieser Zustand gezielt erzwingen, um uninitialisierte Speicherbereiche zu überschreiben und beliebigen Schadcode auszuführen.
CVE-2026-109619 ist eine Use-After-Free-Schwachstelle (UAF, Wiederverwendung freigegebenen Speichers) in der standardmäßig aktiven Funktion zur Nachverfolgung von Datei-Uploads (session.upload_progress.enabled). Bricht ein Upload mit einem fatalen Fehler ab, springt die Ausführung weg, während globale Zeiger weiterhin auf den freigegebenen Heap-Speicher verweisen. Nachfolgende Anfragen können diesen Speicherbereich überschreiben und den Kontrollfluss kapern.
Besonders tückisch ist der Angriffszeitpunkt: Bei gängigen Setups wie Apache mod_php, PHP-FPM oder FrankenPHP greift der Exploit bereits beim Parsen der HTTP-Anfrage und Initialisieren der Engine. Weder Validierungen in Frameworks wie Laravel oder WordPress noch anwendungseigene Middleware können den Angriff abfangen.
Sofortmaßnahmen für Produktivumgebungen
Da PHP nach wie vor rund 70 % aller Websites antreibt, müssen Teams ihre Laufzeitumgebungen umgehend absichern.
Die wichtigste Maßnahme ist das Einspielen der offiziellen Patches: PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35.
Lässt sich ein Engine-Update nicht sofort ausrollen, hilft eine provisorische Konfigurationsanpassung. Das Deaktivieren der Upload-Fortschrittsverfolgung in der php.ini (oder den PHP-FPM-Pool-Dateien) per session.upload_progress.enabled = 0 schließt den Angriffsvektor für CVE-2026-109619. Gegen die OOM-Lücke CVE-2026-109618 schützt dieser Schalter jedoch nicht, weshalb das Update unverzichtbar bleibt.
Für veraltete Systeme unter PHP 7.x oder 5.x, die keine Sicherheitsupdates mehr erhalten, ist die Lage brisant. Betreiber müssen diese Instanzen hinter WAF-Schutzregeln isolieren, vom öffentlichen Netz trennen oder dringend migrieren.
Was künftig wichtig wird
Frontier-KI hat das Zeitfenster zwischen der Entdeckung einer Schwachstelle und ihrer waffenfähigen Ausnutzung drastisch verkürzt.
Gegen KI-gestützte Scan-Schwärme reichen manuelle Review- und Patch-Zyklen nicht mehr aus. Open-Source-Projekte und Plattformbetreiber werden automatisierte KI-Audits fest in ihre CI/CD-Pipelines einbinden müssen, um neu auftretende Zero-Days schon vor dem Release abzufangen.
Quellen
Quelle: unit42.paloaltonetworks.com