PHP2Shell: KI findet jahrzehntealte Lücken in 70 Prozent des Webs

Kurz gesagt: Sicherheitsforscher haben mit Hilfe von KI-Modellen zwei kritische Schwachstellen im Kern von PHP entdeckt, die dort seit über einem Jahrzehnt schlummerten. Ein einziges Exploit-Skript namens php2shell übernimmt ungepatchte Server aus dem Netz, ganz ohne Login. PHP hat gepatcht, die US-Behörde CISA warnt eindringlich, und erste Angriffe wurden schon vor der Veröffentlichung gesichtet.

Was steckt dahinter?

Die Schwachstellen sitzen nicht in WordPress, Drupal oder einer anderen Anwendung, sondern in PHP selbst. Laut Wiz Research reicht deshalb eine einfache „Hello World“-App auf einer betroffenen Version, um angreifbar zu sein. Die Fehler entstehen, wenn PHP schwere Fehler wie Speicherengpässe verarbeitet: Dabei bleibt korrumpierter interner Zustand zurück, den eine spätere Anfrage desselben Workers wiederverwendet. Das Ergebnis: Angreifer können aus der Ferne Code ausführen oder den Arbeitsspeicher des PHP-Prozesses auslesen, inklusive Passwörter, Tokens und API-Keys anderer Anfragen. Demonstriert wurde die unauthentifizierte Code-Ausführung auf den jeweils aktuellen Container-Images von WordPress, Drupal und Joomla.

Der KI-Wendepunkt

Der verwundbare Code lag mehr als zehn Jahre im offenen PHP-Quelltext. Was sich geändert hat, ist die Exploit-Ökonomie: Eine funktionierende Angriffskette erforderte das Verketten mehrerer Fehler und das Anpassen an jede PHP-Version und Speicheranordnung. Wiz beschreibt das als am Rand des für menschliche Forscher praktisch Machbaren. Mit Wiz Atlas, Gemini 4 Argon und GPT-5.6 Sol dauerte es von der Entdeckung am 19. August bis zur bestätigten Code-Ausführung auf Drupal und WordPress nur Tage; Wiz spricht davon, dass ein einzelner Forscher mit den Modellen in einer Woche schaffte, wofür früher ein Weltklasse-Team Monate gebraucht hätte. Unabhängig davon fand das Unternehmen Calif eine der Lücken mit GPT-5.6 Sol im Rahmen von OpenAIs Programm Patch the Planet.

Patch da, Angriffe auch

PHP hat am 21. Oktober die gefixten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht; der Patch beseitigt das Fehlermuster an der Wurzel. Für die nicht mehr unterstützten Zweige 7.4 bis 8.1 gibt es lediglich minimale Quell-Backports, wie Tenable zusammenfasst. Brisant: Amazon Threat Intelligence beobachtete Ausnutzungsversuche bereits am 17. Oktober, vier Tage vor der Veröffentlichung, und spricht inzwischen von breiter Ausnutzung. Die US-Behörde CISA hat am selben Tag eine eigene Warnung veröffentlicht und rät: sofort patchen oder PHP-Systeme bis dahin vom Netz nehmen. Vor der Veröffentlichung hatten Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft und Vercel WAF-Regeln und Abhilfen vorbereitet.

Was du mitnehmen kannst

• Zwei PHP-Core-Lücken (CVSS 9.2) betreffen fast jede Version seit PHP 5.4 und damit den Großteil des Webs.
• Frontier-Modelle machten die jahrzehntealten Fehler erst praktisch ausnutzbar, dieselbe Fähigkeit hilft jetzt auch den Verteidigern.
• Gepatchte Versionen: 8.5.12, 8.4.27, 8.3.36, 8.2.35. Ausnutzungsversuche laufen seit dem 17. Oktober.
• Wiz vergleicht die Tragweite mit Heartbleed und Log4Shell: alte Bugs werden durch KI plötzlich angreifbar.