PHP schließt kritische PHP2Shell-Lücken nach KI-gestützter Forschung

PHP hat am 21. Oktober dringliche Sicherheitsupdates für zwei kritische Schwachstellen veröffentlicht, die gemeinsam als PHP2Shell bezeichnet werden. Den Updates gingen Untersuchungen unter Beteiligung von Calif, OpenAI und Wiz voraus. Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Sowohl CVE-2026-109618 als auch CVE-2026-109619 haben einen CVSS-4.0-Schweregrad von 9,2. Unter den erforderlichen Bedingungen kann ein Angreifer ohne Authentifizierung Code ausführen. Forscher demonstrierten außerdem die Offenlegung sensibler Inhalte aus dem Prozessspeicher.

Beide Sicherheitshinweise führen innerhalb dieser vier Versionszweige frühere Veröffentlichungen als betroffen auf. Forscher verfolgten den betroffenen Code bis zu PHP 5.4 zurück. Es handelt sich damit um ein Problem der Laufzeitumgebung, das mehrere Anwendungsgenerationen umfasst. Die Warnung von PHP betrifft Webinstallationen mit Apache mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Eine verwundbare Laufzeitumgebung kann eine Anwendung gefährden, deren eigener Code ansonsten sicher ist. Die verfügbaren Angriffswege hängen jedoch von der konkreten Installation und dem Lebenszyklus der Anfragen ab.

CVE-2026-109618 betrifft das Verhalten bei Speichermangel. PHP verwendete bisher einen nichtlokalen Sprung, um die Verarbeitung abzubrechen. Dadurch konnte eine Operation unterbrochen werden, bevor ihre internen Anfragedaten vollständig initialisiert waren. Die anschließende Bereinigung konnte diese unvollständigen Daten als gültig behandeln und Speicher beschädigen. Es handelt sich um einen Fehler in Fehlerbehandlung und Initialisierung. Der Patch ersetzt den abrupten Ausstieg durch eine kontrollierte Reaktion an einem sicheren Ausführungspunkt. Bei Erreichen eines höheren Speicherschwellenwerts wird der Prozess sofort beendet.

CVE-2026-109619 betrifft internen Zustand, der die Anfrage überlebt, zu der sein Speicher gehört. Ein schwerwiegender Fehler oder bestimmte Diagnosemeldungen beim Herunterfahren können dazu führen, dass ein dauerhafter Worker einen Verweis auf bereits freigegebenen Speicher behält. Eine weitere Anfrage an denselben Worker kann den veralteten Wert nutzen, bevor die normale Initialisierung ihn löscht. Der Sicherheitshinweis beschreibt bestätigte Fälle mit Fehler-Backtraces in PHP 8.5 und der Fortschrittsverfolgung von Session-Uploads. Eine Ausnutzung erfordert sowohl eine Operation, die Zustand zurücklässt, als auch eine spätere Operation, die darauf zugreift.

Für Apache mod_php wird das höchste Risiko angenommen: Ein demonstrierter Angriff erreicht die verwundbare Verarbeitung, bevor Anwendungscode ausgeführt wird. PHP-FPM beendet einen Worker, wenn der Start einer Anfrage fehlschlägt, und blockiert damit genau diesen Ablauf. Der Hinweis zum zurückbleibenden Zustand bestätigt allerdings einen anwendungsabhängigen FPM-Pfad nach erfolgreichem Start. Dabei hinterlässt eine unterbrochene Operation Zustand für eine spätere Anfrage. Die Schweregradmetriken nennen hohe Angriffskomplexität und zusätzliche Ausführungsbedingungen sowie das Fehlen erforderlicher Berechtigungen oder Nutzerinteraktionen.

OpenAI zufolge identifizierte Calif im Rahmen der Initiative Patch the Planet mit GPT-5.6 Sol eine kritische Schwachstelle. Die PHP Foundation verzeichnet einen Bericht des Calif-Forschers Ryan A vom 11. August und am selben Tag einen unabhängigen Bericht von OpenAI zur gleichen Grundursache. Laut Calif half das Wissen des Forschers über die Geschichte von PHP-Schwachstellen dabei, die Untersuchung zu lenken. Die anfängliche Entdeckung hing weder von einem unveröffentlichten Modell noch von einer besonderen Testumgebung ab.

Wiz untersuchte und meldete die Schwachstellen unabhängig und übermittelte seine Ergebnisse am 24. August. Das Team nutzte Wiz Atlas, Gemini 4 Argon und GPT-5.6 Sol. Es schrieb Argon wesentliche Beiträge bei Entdeckung, Erkennung und Patch-Validierung zu. Wiz demonstrierte Angriffe auf Testinstallationen von WordPress, Drupal und Joomla sowie separat eine Speicherpreisgabe. Das Team beschrieb wiederholte Tests und Anpassungen an unterschiedliche Speicherlayouts, statt einen einzigen Exploit vorzustellen, der automatisch gegen jede PHP-Installation funktioniert.

Die PHP-Maintainer führten die Entwicklung der Korrekturen und die Veröffentlichung an. Der Foundation zufolge waren Anzeichen des Speichererschöpfungsproblems bereits bei der Bearbeitung von Ergebnissen eines über OSTIF organisierten Quarkslab-Audits aus dem Jahr 2024 aufgetreten. Abwägungen zu Kompatibilität, Leistung und Erweiterungen hatten eine Lösung verzögert. OpenAI leistete Forschungsunterstützung und koordinierte sich mit Infrastrukturanbietern, während die Foundation die an der Behebung arbeitenden Entwickler finanzierte. Die neuen Berichte belegten praktische Auswirkungen eines Problems, dessen frühere Ausnutzungsmöglichkeiten noch nicht nachgewiesen waren.

Die Offenlegung wurde beschleunigt, nachdem die CVE-Kennungen am 20. Oktober zu kursieren begonnen hatten. Die Foundation verlegte die koordinierte Veröffentlichung vom 22. Oktober um 14:00 UTC auf den 21. Oktober um 14:00 UTC. Nach ihren Angaben benötigten Distributoren noch Zeit, ihre Pakete fertigzustellen. Calif veröffentlichte anschließend versehentlich ein später entferntes Demonstrationsvideo, das begrenzte zusätzliche Details enthüllte. Die Korrekturen und technischen Sicherheitshinweise sind inzwischen öffentlich.

Cloudflare erklärte, standardmäßige Schutzmaßnahmen hätten Kunden mit kostenloser oder kostenpflichtiger WAF am 21. Oktober um 03:02 UTC erreicht. Der Anbieter berichtete auch über Angriffsverkehr mit Versuchen, die Nutzlasten zu verändern. Separat erklärte die Foundation, unter den von ihr bis zur Offenlegung untersuchten kursierenden Machbarkeitsnachweisen keine funktionsfähigen Exploits gefunden zu haben. Diese Beobachtungen ergeben keine bestätigte Zahl kompromittierter Server. Cloudflare forderte weiterhin PHP-Patches, und PHP betont, dass Konfigurationsänderungen und Filter nur teilweisen Schutz bieten.

Distributionen und Anbieter langfristiger Unterstützung erhielten die Patches vorab und können Pakete mit zurückportierten Korrekturen bereitstellen. PHP 8.1 und ältere Versionen sind weiterhin außerhalb des regulären Sicherheits-Supports des Ursprungsprojekts. Wegen der Schwere stellte das Projekt allerdings minimale Quellcode-Rückportierungen für 7.4, 8.0 und 8.1 bereit. Diese außergewöhnlichen Quellcode-Patches machen alte Versionszweige nicht wieder zu unterstützten Veröffentlichungen. Bei gehosteten Anwendungen hängt die Behebung deshalb von der PHP-Laufzeitumgebung des Betreibers ab und nicht allein von einer Aktualisierung des Inhaltsverwaltungssystems.