Zwei kritische Sicherheitslücken im Kern der Programmiersprache PHP gefährden weite Teile der weltweiten Internet- und Krypto-Infrastruktur. Die unter der Bezeichnung „PHP2Shell“ erfassten Schwachstellen erlauben es Angreifern, aus der Ferne und ohne vorherige Authentifizierung Schadcode auf Servern auszuführen. Weil zahlreiche Web3-Projekte ihre Nutzeroberflächen und Programmierschnittstellen über herkömmliche Webserver betreiben, strahlt das Sicherheitsrisiko unmittelbar auf den Kryptosektor und dezentrale Finanzmärkte ab.

Kritisches Einfallstor im Speichermanagement

Die beiden Sicherheitslücken tragen die Kennungen CVE-2026-109618 sowie CVE-2026-109619. Beide Schwachstellen weisen im internationalen Bewertungsstandard CVSS Version 4.0 einen Wert von 9,2 von maximal 10,0 Punkten auf und gelten damit als kritisch. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Bedrohungslage auf der Warnstufe 3 (Orange) ein.

Betreiber müssen demnach unverzüglich Sicherheitsmaßnahmen ergreifen, da eine erhebliche Beeinträchtigung des Regelbetriebs droht.

Ursache der Verwundbarkeit ist ein fehlerhaftes Speichermanagement im PHP-Kern bei der Verarbeitung eingehender Webanfragen und Dateiuploads. CVE-2026-109618 basiert auf einer unzureichenden Ausnahmebehandlung bei Speichermangel. Bricht ein Prozess wegen fehlenden Arbeitsspeichers ab, verbleiben unvollständig initialisierte Datenstrukturen, die das System beim Aufräumen fälschlicherweise als gültig interpretiert.

Bei CVE-2026-109619 handelt es sich um eine Use-after-free-Lücke. Speicherfragmente früherer Anfragen verbleiben im Arbeitsspeicher eines Worker-Prozesses und lassen sich von Folgeanfragen auslesen oder überschreiben. Neben der Ausführung von Schadcode ermöglicht dieser Mechanismus den unbemerkten Diebstahl sensibler Informationen wie Passwörter, API-Schlüssel oder Sitzungstokens.

Verwundbar sind alle gängigen PHP-Betriebsarten, die Webanfragen verarbeiten, darunter PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP sowie LiteSpeed. Betreiber von Apache-Installationen mit integriertem mod_php tragen ein besonders hohes Risiko, da Angreifer dort Befehle ausführen können, noch bevor der eigentliche Anwendungscode startet. Das Problem betrifft sämtliche Versionen von PHP 5.4 bis einschließlich PHP 8.5.11, womit die Ursache historisch mehr als ein Jahrzehnt zurückreicht.

Hohe Verwundbarkeit im Web3- und Kryptomarkt

Während Smart Contracts manipulationssicher auf Blockchains verankert sind, laufen vorgelagerte Nutzerschnittstellen überwiegend auf Standard-Webservern. Das Sicherheitsunternehmen SlowMist analysierte mit dem System MistEye insgesamt 1.488 kryptobezogene Domains und identifizierte bei 793 dieser Adressen – einem Anteil von 53,3 Prozent – aktive PHP-Infrastrukturen.

Zahlreiche Krypto-Dienstleister, dezentrale Handelsplätze und Webshops setzen für Portale und Nutzerführung auf Content-Management-Systeme wie WordPress, WooCommerce oder Magento. Verschaffen sich Angreifer Zugriff auf die Serverebene, können sie den Programmcode der Webseiten manipulieren.

Besucher kompromittierter Plattformen werden beim Auslösen von Transaktionen unbemerkt auf betrügerische Verträge umgeleitet. Automatisierte Wallet-Drainer transferieren anschließend Bestände direkt auf Adressen der Angreifer. Neben Frontend-Websites sind zudem interne Schnittstellen und gehostete Web-Wallet-Dienste von dem Risiko betroffen.

Automatisierte Exploit-Generierung durch KI-Modelle

Die Entdeckung der Schwachstellen markiert zugleich eine Zäsur in der IT-Sicherheit: Große Sprachmodelle spielten sowohl bei der Identifikation als auch bei der Analyse die entscheidende Rolle. OpenAI entdeckte die Kernschwachstelle im Rahmen des internen Forschungsprogramms „Patch the Planet“ unter Einsatz des Modells GPT-5.6 Sol. Das Forschungsteam des IT-Sicherheitsunternehmens Wiz stieß unabhängig davon mittels KI-gestützter statischer Codeanalyse auf dieselben Fehler.

Wiz setzte anschließend das Modell Gemini 4 Argon ein, um einen funktionsfähigen Angriffsmechanismus zu synthetisieren und Korrektur-Patches zu testen.

In einer Laborumgebung demonstrierten Sicherheitsexperten, dass eine vollständige Übernahme eines Servers auf Basis des Laravel-Frameworks innerhalb von 38 Sekunden automatisiert gelingt. Dieser Effizienzgewinn steht auch Cyberkriminellen offen, die neue Patches mithilfe von Sprachmodellen innerhalb kürzester Zeit dekompilieren und ausnutzen können.

BSI-Vizepräsident Thomas Caspers ordnet die Gefährdungslage deutlich ein: „Wir halten eine kurzfristige, grossflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich.“ Zudem warnt die Behörde vor Kettenreaktionen, bei denen infizierte Großserver automatisch Schadprogramme an Besucher weiterverteilen.

Vorzeitige Veröffentlichung und Patch-Welle

Historisch reichen erste Hinweise auf verwandte Speicherprobleme bis in das Jahr 2004 zurück, als Sicherheitsforscher Stefan Esser vergleichbare Strukturen beschrieb. Eine Überprüfung im Auftrag der PHP Foundation griff das Thema 2024 erneut auf, fand seinerzeit jedoch keine praktischen Belege für eine Ausnutzbarkeit.

Am 11. August 2026 reichten das Sicherheitsunternehmen Calif und OpenAI unabhängig voneinander Nachweise für funktionierende Angriffe beim PHP-Entwicklerteam ein. Der daraufhin vereinbarte Zeitplan für eine koordinierte Veröffentlichung geriet Mitte Oktober aus der Kontrolle.

Zwar verzeichnete das BSI am 21. Oktober noch keine offiziellen Schadensfälle, doch Daten des Amazon Threat Intelligence Teams zeigten bereits vier Tage vor dem offiziellen Release erste Angriffsversuche im Netz.

Nachdem am 20. Oktober die Schwachstellenkennungen in Entwicklerforen durchsickerten und Calif unbeabsichtigt ein Demonstrationsvideo veröffentlichte, zogen die Verantwortlichen die Veröffentlichung vor. Am Vormittag des 21.

Oktober brach der Container-Spezialist Chainguard die Sperrfrist vorzeitig. Weltweit schalteten daraufhin Rechenzentren, Behörden und Universitätskliniken PHP-Dienste vorübergehend ab.

Um 16:00 Uhr MESZ stellte das PHP-Kernteam schließlich offizielle Patches für die Versionen PHP 8.2 bis 8.5 bereit. Ältere Versionen bis einschließlich PHP 8.1 erhalten keine Fehlerkorrekturen mehr und müssen manuell migriert werden.

Gemessen an Schätzungen, wonach rund 70 Prozent aller Websites weltweit auf PHP basieren und allein das System WordPress auf 400 bis 500 Millionen Installationen kommt, steht Administratoren eine langwierige Bereinigungswelle bevor. Als abgesichert gelten gegenwärtig ausschließlich die Versionen PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Branchenbeobachter erwarten, dass die Angriffswellen auf ungesicherte Altsysteme in den kommenden Wochen ihren Höhepunkt erreichen werden.