PHP2Shell: Wie zwei Sicherheitslücken innert Stunden zum weltweiten Notfall wurden

Im Oktober 2026 ereignete sich einer der grössten IT-Sicherheitszwischenfälle der letzten Jahre. Er zeigte, wie schnell ein ursprünglich aus gutem Grund geheim gehaltener Softwarefehler zu einem globalen Problem werden kann, und warum künstliche Intelligenz als Werkzeug sowohl Lösungen ermöglicht als auch neue Risiken schafft.

Sommer 2026: Drei Teams finden dieselben Lücken

Im Juni 2026 startete OpenAI – das KI-Forschungsunternehmen hinter ChatGPT – ein Programm namens «Patch the Planet». Damit unterstützt es externe Sicherheitsexperten bei der systematischen Prüfung weit verbreiteter Open-Source-Software. Eine dieser Prüfungen betraf PHP. Diese Programmiersprache treibt nach gängigen Schätzungen rund 70 Prozent aller Webseiten an: von WordPress-Blogs über Online-Shops bis zu Seiten von Regierungen und Behörden. Daneben kommt sie auch für zahlreiche andere Web-Anwendungen und Server-Komponenten zum Einsatz. Entwickelt und gepflegt wird PHP von der PHP Foundation, einer gemeinnützigen Organisation.

• 30. Juli: Das Sicherheitsunternehmen Calif, spezialisiert auf das Aufdecken von Software-Schwachstellen, nahm sich PHP vor.
• 01. August: Das Team von Calif identifizierte mehrere Angriffspfade, die zu einer Fernsteuerung fremder Server führen konnten.
• 11. August: Calif meldete den ersten Fehler dem PHP-Team. Am selben Tag entdeckte auch OpenAIs eigene Sicherheitssparte unabhängig davon dieselbe grundlegende Sicherheitslücke.
• 19. August: Ein drittes Team, Wiz – eine Cloud-Sicherheitsfirma, die besonders kritische Infrastrukturen im Blick hat –, stiess auf verwandte Schwachstellen.
• 24. August: Das Sicherheitsteam von Wiz meldete die gefundenen Schwachstellen dem PHP-Team.

Am 21. September bestätigte die PHP Foundation die gemeldeten Sicherheitslücken und begann, gemeinsam mit den beteiligten Sicherheitsteams eine koordinierte Lösung zu entwickeln. Vereinbart war, dass die aktualisierten Versionen am 22. Oktober 2026 erscheinen. Bis dahin bleibt alles streng vertraulich. Diese Vorgehensweise ist in der Sicherheitsindustrie Standard und dient dem Schutz der Nutzer, indem sie Angreifern keinen unnötigen Vorlauf lässt.

Die Funde hätten eine regelrechte Erfolgsstory für KI werden können, denn bei allen drei Entdeckungen spielten sogenannte LLMs eine zentrale Rolle. LLMs sind KI-Modelle, die menschliche Sprache verstehen, analysieren und selbst Texte generieren können (so wie beispielsweise ChatGPT). Die Entdeckungen gelten als Meilenstein: Nie zuvor wurden derart gravierende Sicherheitslücken in so kurzer Zeit mit Unterstützung solcher Systeme in komplexem Softwarecode gefunden. Was früher Teams von Forschenden über Monate beschäftigt hätte, liess sich mit KI-Unterstützung in wenigen Tagen finden.

20. Oktober: Das Embargo bricht

Am 20. Oktober 2026, zwei Tage, bevor die aktualisierten Versionen erscheinen sollten, nahm das Unglück dann jedoch seinen Lauf:

• 17:20 Uhr: Details zu den beiden Schwachstellen samt ihren reservierten CVE-Nummern (CVE-2026-109618 und CVE-2026-109619) wurden in einem Tech-Forum veröffentlicht.
• 20:26 Uhr: Rund drei Stunden nach diesen Veröffentlichungen bestätigte die Sicherheitsforschungsfirma watchTowr öffentlich, dass es tatsächlich ein Embargo gab – also eine Vertraulichkeitsvereinbarung, wonach alle Beteiligten die Informationen zu einer Schwachstelle zurückhalten, bis ein Fix bereitsteht. Mit dieser Bestätigung war klar, dass etwas Schwerwiegendes im Anmarsch war.
• 21:33 Uhr: PHP zog die Notbremse und kündigte an, den Patch bereits am 21. statt wie geplant am 22. Oktober zu veröffentlichen.
• 22:00 Uhr: Ausgerechnet in dieser heiklen Phase passierte dann der zweite Fehler: Calif veröffentlichte versehentlich ein Video auf X, das die Ausnutzung der Schwachstelle konkret gegen laufende Systeme demonstrierte. Clint Gibler, Leiter von OpenAIs Cybersicherheitsteam, erklärte später, es habe sich um ein Versehen gehandelt, nicht um eine absichtliche Enthüllung. Doch der Schaden war da: Die Öffentlichkeit wusste nun, dass die Lücke tatsächlich existiert und ausnutzbar ist.

21. Oktober: Der Morgen, an dem alles zerfiel

Der frühe Morgen des 21. Oktober brachte die nächste Wendung.

• 09:41 Uhr: Chainguard, ein Anbieter besonders stark abgesicherter Software-Pakete, veröffentlichte vorzeitig Container-Images, die den fertig gestellten Fix bereits enthielten. Für Fachleute war damit eindeutig ablesbar, was genau geändert worden war und wo die Lücke lag.
• 09:43 Uhr: Die Folgen liessen nicht lange auf sich warten. Nur zwei Minuten nach der Veröffentlichung durch Chainguard meldete Cloudflare – ein Dienstleister, der einen grossen Teil des weltweiten Webverkehrs absichert – erste aktive Ausnutzungsversuche.

Auf all diese Entwicklungen reagierten Angreifer umgehend: Sie richteten, wie es das Sicherheitsunternehmen VulnCheck später formulierte, scharenweise Sprachmodelle auf den ohnehin öffentlich einsehbaren PHP-Quellcode. Da PHP Open Source ist, brauchte es kein klassisches Reverse Engineering: Kombinierte man die geleakten Hinweise mit automatisierter Codeanalyse durch KI, war die exakte Schwachstelle in kurzer Zeit nachvollzogen und reproduzierbar. In wenigen Stunden gab es bereits erste Angriffscodes, die zeigten, wie die Lücke konkret ausgenutzt werden konnte.

Die Zahlen, die Cloudflare-Chef Matthew Prince präsentierte, illustrieren die Dynamik: Tausende Angriffsversuche in den zehn Stunden vor der offiziellen Bekanntgabe, Zehntausende in den 45 Minuten danach, Hunderttausende binnen zwei Stunden und schliesslich Millionen.

Aufgrund dieses Ausmasses gingen innert kürzester Zeit unzählige Webseiten und Anwendungen sicherheitshalber offline, um sich vor den Angriffen zu schützen.

Um 16:00 Uhr erschienen schliesslich die offiziellen Patch-Versionen, und gemeinsam mit OpenAI, Wiz und weiteren Beteiligten wurde die Schwachstelle unter dem Namen PHP2Shell öffentlich gemacht.

Warum gerade dieser Fall so heikel war

Die schiere Angriffsfläche
PHP betreibt rund 70 Prozent des Webs. Über 13 Millionen internet-erreichbare Systeme liefen mit potenziell betroffenen Versionen. Betroffen sind möglicherweise Versionen ab PHP 5.4, das bereits 2012 erschien. Die Sicherheitslücken könnten damit mehr als 14 Jahre zurückreichen. Das Problem beschränkt sich also nicht auf ein einzelnes Produkt oder einen Hersteller, sondern betrifft eine technische Grundlage, auf der unzählige Webseiten und Anwendungen aufbauen.

Die Schwere der Lücken
Beide Schwachstellen ermöglichen die sogenannte «Remote Code Execution». Das ist unautorisiertes Ausführen von fremdem Code auf dem Zielserver, ohne Anmeldung und ohne Benutzereingriff. Bewertet wurden sie mit einem CVSS-Score von 9.2 von 10. Zusätzlich erlaubte eine der beiden Lücken das Auslesen sensibler Daten aus dem Speicher des Servers: Passwörter, Session-Tokens, API-Schlüssel. Und das ganz unauffällig, ohne die Codeausführung überhaupt zu benötigen.

Das Tempo der Ausnutzung
Was diesen Fall von früheren Sicherheitsvorfällen so drastisch unterscheidet, ist zudem die Geschwindigkeit, mit der die Angreifer handelten. Während es bei älteren Schwachstellen oft Tage oder Wochen dauerte, bis funktionierende Angriffs-Skripte im Netz auftauchten, geschah dies hier innerhalb von Stunden nach Bekanntwerden der Lücke.
Der Grund für diesen enormen Zeitgewinn liegt im Einsatz moderner Technologie durch die Angreifer selbst: Durch den gezielten Einsatz von KI-gestützten Tools können Code-Analysen automatisiert, Schwachstellen blitzschnell verstanden und massgeschneiderte Exploits in Rekordzeit generiert werden. Die Angreifer müssen nicht mehr langwierig manuell Skripte schreiben. Stattdessen übernimmt die Künstliche Intelligenz grosse Teile der Vorarbeit. Das bedeutet für Sicherheitsverantwortliche, dass die Zeitspanne zwischen dem Bekanntwerden einer Lücke und den ersten realen Angriffen drastisch schrumpft.