PHP2Shell: KI-Modelle finden kritische Lücken im PHP-Kern
Zwei Parteien fanden unabhängig voneinander schwere Speicherfehler in der PHP-Engine, darunter OpenAIs Programm „Patch the Planet“ mit GPT-5.6 Sol. Nach rund zwei Monaten koordinierter Reaktion wurden Patches veröffentlicht.
Worum es geht
Latent Space berichtet über PHP2Shell, zwei Speicherfehler (CVE-2026-109618 und CVE-2026-109619) im Kern der PHP-Engine. Entdeckt wurden sie unabhängig von einem Calif-Forscher im Rahmen von OpenAIs Programm „Patch the Planet“ (mit GPT-5.6 Sol) und von Wiz, die laut Berichten Gemini 4 Argon und GPT-5.6 Sol nutzten.
Die wichtigsten Fakten
- Die Defekte liegen in PHPs Umgang mit Out-of-Memory-Zuständen und fatalen Fehlern, nicht in einzelnen Plugins.
- Demonstriert wurden Pre-Auth-RCE gegen WordPress, Drupal und Joomla sowie „Heartbleed-artige“ Speicherlecks.
- Das sind Angaben der Forscher; nicht jede Installation ist automatisch gleich ausnutzbar.
- Die koordinierte Behebung dauerte laut OpenAI etwa zwei Monate und erforderte eine größere Änderung an der PHP-Engine, abgestimmt mit der PHP Foundation.
- Cloudflare schaltete vorab WAF-Regeln für alle Kunden, ausdrücklich als Übergangslösung; Patchen blieb nötig.
- Die NSA riet zu schnellem Update; Berichte über vorab geleakte Details sind laut Quelle nicht belegt.
- OpenAI hatte zuvor Daybreak mit 1 Mrd. US-Dollar Förderung für Verteidiger angekündigt.
Einordnung
Der Fall zeigt, dass KI-Modelle inzwischen kritische Lücken in weit verbreiteter Basissoftware finden. Wie schwerwiegend die Lücken im Vergleich zu Log4Shell oder Heartbleed sind, ist umstritten, und Marketing spielt mit. Betreiber von PHP-Servern sollten die Patches einspielen.
