PHP2Shell: KI-Modelle finden kritische Lücken im PHP-Kern
Zwei Parteien entdeckten unabhängig schwere Speicherfehler in PHP, darunter OpenAIs Programm Patch the Planet mit GPT-5.6 Sol. Nach zwei Monaten koordinierter Arbeit gibt es Patches.
Worum es geht
Forscher haben zwei Memory-Corruption-Schwachstellen im PHP-Kern offengelegt, genannt PHP2Shell (CVE-2026-109618 und CVE-2026-109619). Entdeckt wurden sie unabhängig von Calif-Forscher Ryan Austin im Rahmen von OpenAIs "Patch the Planet" mit GPT-5.6 Sol sowie von Wiz, das Gemini 4 Argon, GPT-5.6 Sol und das eigene Tool Wiz Atlas nutzte.
Die wichtigsten Fakten
- Die Fehler liegen in PHPs Behandlung von Out-of-Memory-Zuständen und Fatal Errors.
- Demonstriert wurde Pre-Auth-RCE gegen WordPress, Drupal und Joomla sowie Speicherauslese "im Heartbleed-Stil".
- Rund zwei Monate koordinierte Behebung vor der Offenlegung, mit PHP Foundation, Sicherheitsfirmen und Behörden.
- Der Patch erforderte eine größere Änderung an der PHP-Engine.
- Cloudflare setzte vorab WAF-Regeln ein (auch im Free Tier) und nannte sie nur einen Stopgap; Patch um 14:00 UTC.
- Die NSA riet zu sofortigem Update; laut Berichten gab es vor dem Patch Leaks, Details sind unklar.
- OpenAI hatte zuvor Daybreak for Frontline Defenders mit 1 Mrd. Dollar Subsidien aufgelegt.
Einordnung
Der Fall zeigt, dass KI-Modelle inzwischen kritische Lücken in Kernsoftware finden. Wie schwerwiegend sie im Vergleich zu Log4Shell oder Heartbleed sind, ist umstritten, und Aussagen stammen großteils von Beteiligten. Betreiber von PHP-Systemen sollten zügig patchen.
