Zwei Bugs steckten fast unbemerkt rund zwanzig Jahre lang im Code von PHP. Gefunden hat sie kein Team von Sicherheitsingenieuren, sondern eine KI — genauer gesagt zwei, unabhängig voneinander. Wiz, ein Cybersecurity-Unternehmen im Besitz von Google, ließ seinen eigenen KI-Agenten über den PHP-Quellcode laufen. Parallel kam die Firma Calif mit dem OpenAI-Modell GPT-5.6, genannt Sol, zu einem fast identischen Ergebnis. Beide stießen auf denselben Fehler, der nun PHP2Shell heißt und als CVE-2026-109618 und CVE-2026-109619 geführt wird.
Vereinfacht gesagt erlaubt der Bug, aus der Ferne beliebigen Code auf einem fremden Server auszuführen — ohne Passwort oder Login, also eine vollständige Übernahme der Seite. PHP betreibt etwa sieben von zehn Websites mit erkennbarer Programmiersprache, darunter WordPress und tausende Regierungsportale. Wiz selbst nannte den Fund „eine der schwersten je in PHP entdeckten Schwachstellen, vielleicht sogar in der Geschichte der Software überhaupt“.
Wiz fand den ersten Bug am 19. August und meldete ihn fünf Tage später dem PHP-Team. Die Entwickler bereiteten still einen koordinierten Fix vor, zusammen mit Cloudflare, AWS, Microsoft, Google Cloud, Automattic (Eigentümer von WordPress.com), Fastly, Akamai, Imperva und Vercel — eine Liste, die zeigt, wie viel vom Internet an diesem Patch hing. Die öffentliche Offenlegung war für den 22. Oktober geplant, doch am 20. Oktober gelangten Details ins Netz, was eine vorzeitige Veröffentlichung erzwang: PHP brachte die Fixes am 21. Oktober um 14:00 UTC für die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 heraus, mit Backports für 8.1, 8.0 und 7.4.
Während die Patches ausgerollt wurden, schalteten mehrere Regierungen vorsorglich Teile ihrer Dienste ab. In den Niederlanden fielen das Portal Overheid.nl, die Seite des Fußballverbands KNVB, Seiten der größten Parteien und mehrerer Krankenhäuser aus. Finnlands Betreiber Valtori trennte das Staatsnetz, Frankreich setzte Innenministeriumsseiten in vorbeugende Wartung, Dänemarks Schulplattform Kombit ging offline, und Japans Sakura Internet deaktivierte Teile seiner Datenbankfunktionen. Die US-NSA gab eine seltene öffentliche Warnung heraus, und Wikipedia legte vorübergehend Teile seiner Systeme still.
Bemerkenswert an der Geschichte ist nicht nur der Bug selbst, sondern wer ihn fand. Zwei Firmen, zwei verschiedene KI-Systeme, derselbe Fund — Monate bevor irgendein Mensch davon berichtet hätte. Sicherheitsforscher sagen es inzwischen offen: Wenn KI zwanzig Jahre alte Löcher in Code ausgräbt, dem das gesamte Internet vertraut, werden dieselben Werkzeuge früher oder später auch Angreifern zur Verfügung stehen — und dann zählt die Zeit in Stunden, nicht in Monaten.
