Sicherheitslücke in PHP: Regierung warnt Website-Betreiber dringend
Nach einem Angriff auf PHP hat die japanische Regierung Website-Betreibern empfohlen, zu prüfen, ob sie PHP einsetzen, und sobald möglich ein Sicherheitsupdate einzuspielen. Wer nicht sofort patchen kann, soll vorübergehend Teile der Software abschalten.
Am Mittwoch, dem 21. Oktober 2026, bat Ministerpraesidentin Sanae Takaichi um 21:55 Uhr Ortszeit in Tokio, Japan, Betreiber von Websites zu pruefen, ob sie PHP einsetzten, und sobald verfuegbar umgehend ein Sicherheitsupdate einzuspielen.
Wer nicht patchen koenne, solle voruebergehend Teile seiner Websites deaktivieren, so ihre Empfehlung.
Etwa eine Stunde spaeter veroeffentlichte PHP Korrekturen fuer zwei kritische Schwachstellen.
Die US-amerikanische National Security Agency gab sogar eine deutlich draastischere Warnung heraus: Wer nicht patchen koenne, solle seine Systeme vom Netz nehmen.
Um zu verstehen, warum, muss man den gesamten Vorfall betrachten, und der beginnt lange vor dem Zeitalter der KI.
Im Jahr 2004 entdeckte der Sicherheitsforscher Stefan Esser den ersten entfernten Fehler darin, wie PHP sein Speicherlimit behandelt.
Im Jahr 2020 wurde der PHP-Bug #78876 gemeldet, mit dem Hinweis, dass lange Formularvariablen PHP dazu bringen konnten, den Speicher zu erschoepfen.
Im Jahr 2024 stiess ein Audit von OSTIF und Quarkslab erneut auf dasselbe Problem mit dem Speichermangel.
Niemand konnte belegen, dass es ausnutzbar war, daher blieb es unbehebt (Calif).
PHP bricht eine Anfrage ab, wenn der Speicher zur Neige geht.
Geschieht das waehrend des Aufbaus einer internen Datenstruktur, ueberspringt PHP seine Aufraeumroutine.
Der Speicher wird freigegeben, aber die Zeiger darauf bleiben bestehen.
Die naechste Anfrage, die derselbe Worker verarbeitet, vertraut dann auf diesen freigegebenen Speicher, den ein Angreifer mit seinen eigenen Daten gefuellt hat.
Calif zeigte, dass ein einzelner eigens konstruierter Upload innerhalb der Standardgrenze von 8 MiB fuer Uploads das standardmaessige Speicherlimit von 128 MiB erschoepfen kann.
Ein Login ist nicht erforderlich, und auch kein Fehler im eigenen Code der Website liegt vor.
PHP erfasste die Schwachstellen unter zwei CVEs: CVE-2026-109618 (Out-of-Memory-Korruption) und CVE-2026-109619 (veralteter Zustand, der in die naechste Anfrage ueberdauert).
Am 30. Juli 2026 lud OpenAI das Sicherheitsunternehmen Calif in sein Programm Patch the Planet ein, das Open-Source-Maintainern helfen soll.
Am 1. August verfuegte er, zusammen mit OpenAIs GPT-5.6 Sol, ueber eine funktionierende Remote Code Execution gegen WordPress.
Calif meldete den ersten Fehler am 11. August an PHP und uebersandte am 14. August einen funktionierenden Exploit.
Am 19. August fand Wiz Research dieselbe Fehlerfamilie unabhaengig mithilfe von Gemini 4 Argon, GPT-5.6 Sol und dem eigenen Werkzeug Wiz Atlas und meldete seine Varianten am 24. August (Wiz).
Rund elf Wochen lang entwickelten die Maintainer von PHP die Korrektur, waehrend OpenAI eine Koalition koordinierte.
Linux-Distributionen erhielten die Patches fruehzeitig.
Cloudflare, AWS, Google, Microsoft, Fastly, Akamai und weitere bereiteten Firewall-Regeln vor.
OpenAI informierte die Super Intelligence Force des Weissen Hauses, das Office of the National Cyber Director und die CISA (OpenAI).
Am 20. Oktober behauptete ein anonymer Beitrag auf Hacker News, dass die Schwachstellen real seien.
Der Beitrag wurde geloescht, doch Screenshots verbreiteten sich auf X und Mastodon, zusammen mit Bildern und einem kurzen Video von Califs privatem Exploit-Werkzeug namens PHP2Shell (Alexandre Daubois).
PHP zog die Veroeffentlichung auf den 21. Oktober, 14:00 UTC vor.
Auch watchTowr bestaetigte, dass die Schwachstellen echt waren.
Cloudflare beobachtete die ersten Angriffe um 07:43 UTC, mehr als sechs Stunden bevor irgendein Patch existierte (Sansec).
PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 erschienen planmaessig.
Die NSA, das FBI, die CISA, das britische National Cyber Security Centre und CERT-EU gaben allesamt Warnungen heraus.
In den Niederlanden gingen DigiD, MijnOverheid, die Website der Abgeordnetenkammer und die eigene Website des niederlaendischen National Cyber Security Centre offline (Patchstack, unter Verweis auf NOS).
Die Aktie von Cloudflare stieg an jenem Tag um rund 5 Prozent (Investing.com).
Austin ging von einer Theorie aus, naemlich dass Geschwisterfehler von Essers Bug von 2004 noch immer im Code verborgen lauern koennten.
Er bat sein Modell, nach Wegen zu suchen, um einen kontrollierbaren Out-of-Memory-Fehler auszuloesen, und anschliessend nach Code, der mitten in einer Aufgabe unterbrochen werden koennte.
Das Modell stellte fest, dass PHP einen neuen Tabelleneintrag als gueltig zaehlt, bevor es dessen Aufbau abgeschlossen hat.
Austin liess es daraufhin aus diesem einen Fund ein wiederverwendbares Suchmuster ableiten, was direkt zu weiteren Varianten fuehrte (Calif).
Calif erklaert, es habe keinen speziellen Harness und keine der Oeffentlichkeit unzugaenglichen Modelle verwendet.
Seine Lehre lautet, dass die Kenntnis des Ziels weiterhin entscheidend ist. Der Experte lieferte die Richtung. Das Modell lieferte das Tempo.
Wiz erzaehlt dieselbe Geschichte aus Sicht der Ausnutzung.
Funktionierende Angriffe zu entwickeln bedeutete, mehrere Schwachstellen zu verketten und sich an das Speicherlayout jedes einzelnen Ziels anzupassen.
Mit Frontier-Modellen passte es Exploits innerhalb von Stunden auf verschiedene Anwendungen an, und ein einzelner Forscher schaffte in einer Woche das, was nach Angaben von Wiz früher einen erstklassiges Team monatelang beschäftigt hätte (Wiz).
Wäre das Auffinden der Schwachstelle das gesamte Problem gewesen, dann wäre PHP2Shell schon 2020 oder 2024 behoben worden.
Das war nicht der Fall, und die PHP Foundation hat erklärt, warum.
Nach der Veröffentlichung erläuterte die Foundation, dass ein möglicher Exploit bereits 2024 theoretisiert worden war.
Es wurde kein konkreter Angriffspfad gefunden, und andere Probleme mit klarerem Schadenspotenzial hatten Vorrang.
Die Experten, die das Problem hätten beheben können, hatten viele andere Aufgaben, sodass die Arbeit an einer Lösung monatelang immer wieder ins Stocken geriet und neu aufgenommen wurde (ABC News).
OpenAI sagt, dass diese Schwachstellen zu mehreren bedeutenden Funden gehören, die es bereits gemacht hat, und erwartet, dass solche Entdeckungen in den kommenden Monaten stark zunehmen werden.
Der letzte Schritt liegt bei den Betreibern von Websites, und PHP2Shell zeigte, wie unterschiedlich dieser gelingt.
Nach der Offenlegung stiegen die Exploit-Versuche nach Angaben von Cloudflare von Tausenden auf Millionen an (Yahoo Finance).
Am 20. Oktober zählte das Sicherheitsunternehmen Mallory etwa 884.000 internetexponierte Hosts, die PHP 8.1 oder älter meldeten (The Hacker News).
Für diese Versionen veröffentlicht PHP keine Korrekturen mehr.
Deshalb empfahl die NSA unter anderem, nicht patchbare Systeme vom Netz zu nehmen, und deshalb schlug Japans Premierminister vor, Website-Funktionen abzuschalten (NSA).
Die niederländischen Regierungswebsites, die abgeschaltet wurden, zeigen, dass selbst gut ausgestattete Organisationen zu diesem Mittel griffen.
Dass ein Premierminister ein Land auffordert, über Nacht eine Programmiersprache zu patchen, klingt nach einem Einzelfall, ist es aber wahrscheinlich nicht.
OpenAI erwartet, dass solche Funde weiterhin kommen werden, und Angreifer führen KI-Kampagnen bereits für ein paar tausend Dollar durch.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
At 9:55 p.m. on Wednesday, October 21, 2026, in Tokyo, Japan, the prime minister Sanae Takaichi urged website owners to check whether they ran PHP and apply a security fix as soon as it became available.
If they couldn’t patch, she advised temporarily disabling parts of their sites.
About an hour later, PHP released fixes for two critical vulnerabilities.
The US National Security Agency issued an even drastic warning: if you couldn’t patch, take your systems OFFLINE.
To see why, you need to understand the whole incident, and it starts long before AI.
In 2004, security researcher Stefan Esser found the first remote flaw in how PHP handles its memory limit.
In 2020, someone filed PHP bug #78876, noting that long form variables could make PHP run out of memory.
In 2024, an audit by OSTIF and Quarkslab rediscovered the same out-of-memory problem.
No one could prove it was exploitable, so it stayed unfixed (Calif).
PHP stops a request when it runs out of memory.
If that happens halfway through building an internal data structure, PHP skips its cleanup.
The memory is freed, but pointers to it survive.
The next request handled by the same worker then trusts that freed memory, which an attacker has filled with their own data.
Calif showed that one crafted upload, under PHP’s default 8 MiB upload limit, can exhaust its default 128 MiB memory limit.
No login is needed, and no bug in the website’s own code.
PHP filed the flaws as two CVEs: CVE-2026–109618 (out-of-memory corruption) and CVE-2026–109619 (stale state that survives into the next request).
On 30 July 2026, OpenAI invited the security firm Calif into Patch the Planet, its program to help open-source maintainers.
On 1 August, working with OpenAI’s GPT-5.6 Sol, he had a working remote code execution against WordPress.
Calif reported the first bug to PHP on 11 August and sent a working exploit on 14 August.
On 19 August, Wiz Research independently found the same family of bugs using Gemini 4 Argon, GPT-5.6 Sol and its own Wiz Atlas tool, and reported its variants on 24 August (Wiz).
For about 11 weeks, PHP’s maintainers built the fix while OpenAI coordinated a coalition.
Linux distributions received patches early.
Cloudflare, AWS, Google, Microsoft, Fastly, Akamai and others prepared firewall rules.
OpenAI briefed the White House’s Super Intelligence Force, the Office of the National Cyber Director and CISA (OpenAI).
On 20 October, an anonymous Hacker News post claimed the bugs were real.
It was deleted, but screenshots spread to X and Mastodon, along with images and a short video of Calif’s private exploit tool, named PHP2Shell (Alexandre Daubois).
PHP brought the release forward to 21 October at 14:00 UTC.
watchTowr also confirmed the flaws were genuine.
Cloudflare saw the first attacks at 07:43 UTC, more than six hours before any patch existed (Sansec).
PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 shipped on schedule.
The NSA, the FBI, CISA, the UK’s National Cyber Security Centre and CERT-EU all issued alerts.
In the Netherlands, DigiD, MijnOverheid, the House of Representatives’ site and the Dutch National Cyber Security Centre’s own site went offline (Patchstack, citing NOS).
Cloudflare’s shares rose about 5% that day (Investing.com).
Austin started from a theory, that ‘siblings’ of Esser’s 2004 bug still lurked in the code.
He asked his model to look for ways to trigger a controllable out-of-memory error, then for code that could be interrupted mid-task.
The model spotted that PHP counts a new table entry as live before it finishes building it.
Austin then had it turn that one finding into a reusable search pattern, which led straight to more variants (Calif).
Calif says it used no special harness and no models unavailable to the public.
Its lesson is that knowing your target still matters. The expert supplied the direction. The model supplied the speed.
Wiz tells the same story from the exploitation side.
Building working attacks meant chaining several bugs and adapting to each target’s memory layout.
With frontier models it adapted exploits across applications in hours, and a single researcher did in a week what Wiz says would once have taken a world-class team months (Wiz).
If finding was the whole problem, PHP2Shell would have been fixed in 2020 or 2024.
It wasn’t, and the PHP Foundation has said why.
After the release, the Foundation explained that a possible exploit had been theorized as early as 2024.
No concrete attack path was found, and other issues with clearer impact took priority.
The experts who could fix it had many other responsibilities, so work on a fix stalled and restarted repeatedly over months (ABC News).
OpenAI says these bugs are among several significant ones it has already found, and it expects such findings to “increase sharply” in the coming months.
That last step belongs to the people who operate websites, and PHP2Shell showed how unevenly it happens.
After disclosure, Cloudflare says exploit attempts jumped from thousands to millions (Yahoo Finance).
On 20 October, the security company Mallory counted about 884,000 internet-facing hosts reporting PHP 8.1 or older (The Hacker News).
PHP no longer releases fixes for those versions.
That is why the NSA’s advice included taking unpatchable systems offline, and why Japan’s Prime Minister suggested switching site features off (NSA).
The Dutch government sites that went dark show that even well-resourced organizations reached for it.
A Prime Minister asking a country to patch a programming language overnight sounds like a one-off but it probably isn’t.
OpenAI expects findings like this to keep coming, and attackers already run AI campaigns for a few thousand dollars.