PHP-Script-Sicherheit: AI-Fehler entdeckt, Webseiten weltweit betroffen

Sicherheit: PHP-Script-Sicherheit kritisch bedroht

Die Welt der Webentwicklung steht vor einem neuen Sicherheitsrisiko. Kritische Schwachstellen im PHP-Scripting wurden von OpenAI, Wiz und anderen Partnern durch fortschrittliche KI-Modelle wie GPT‑5.6 Sol identifiziert.

Die aktuelle Lage

Die Entwickler haben zwei kritische Fehler (CVE‑2026‑109618 und CVE‑2026‑109619) gefunden, die es Angreifern ermöglichen, Remote Code Execution auszuführen oder Daten zu exfiltrieren. Diese Lücken existierten bereits über einen Zeitraum von mehr als einem Jahrzehnt und wurden erst durch KI-Modelle aufgedeckt.

Was ist neu?

• Entdeckung: Die Schwachstellen wurden in den Niederlanden (z.B. Tweede Kamer, nationale Gesundheitsbehörde) sowie weltweit identifiziert.
• Betroffene Systeme: Fast 70% der Webseiten nutzen PHP. Dies umfasst WordPress, Drupal und Magento.
• Verantwortung: Die betroffenen Organisationen müssen die Software-Updates für ihre PHP-Versionen anwenden. Hosting-Anbieter sind ebenfalls betroffen.
• Schutzmaßnahmen: Cloudflare hat bereits Schutzmechanismen (WAF) deployed, die automatisch auf Kunden mit WAF zugreifen.

Warum relevant?

Die Schwachstellen ermöglichen Angreifern, sich in Server-Dateisysteme einzuarbeiten und sensiblen Daten zu exfiltrieren. Da PHP unter vielen Plattformen verborgen ist, gilt dies als ein hohes Risiko für die gesamte Internetinfrastruktur.

Was ist noch unklar?

• Welche spezifischen PHP-Versionen sind betroffen? (Zu Beginn wurde nur PHP 8.1 und älter empfohlen, doch CERT-EU spricht von allen Versionen ab PHP 5).
• Wie viele Webseiten in den Niederlanden sind tatsächlich betroffen? Die Quellen nennen die betroffenen Institutionen, aber nicht eine genaue Zahl.
• Wann ist ein vollständiger Patch für alle Versionen verfügbar?

Wie geht es weiter?

Die betroffenen Organisationen sollten umgehend prüfen, ob ihre PHP-Installationen aktualisiert wurden. Cloudflare hat Schutzregeln bereitgestellt, die automatisch aktiviert sind. Die offiziellen Updates von der PHP Foundation werden ebenfalls veröffentlicht.

Quellen

1. OpenAI / Patch the Planet Initiative
2. BBC News
3. Cloudflare Blog