Die Schwachstellen werden unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt und betreffen sämtliche Webserver mit PHP 5.4 oder neuer. Behoben sind sie in den Versionen:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Cloudflare erklärte, bereits erste Ausnutzungsversuche beobachtet zu haben. Um 3:02 Uhr UTC habe das Unternehmen Regeln für seine Web Application Firewall ausgerollt, die Websites vor Angriffsverkehr schützen sollen. Als mögliche Folgen einer erfolgreichen Ausnutzung nennt Cloudflare Denial-of-Service-Zustände, Remote Code Execution und die Offenlegung von Daten. Reuters berichtet, dass nach der Offenlegung der PHP-Lücken Regierungswebsites in Europa und anderswo offline gingen. Mit vielen Fehlerseiten im Netz ist im Lauf des Tages zu rechnen.

An Forschung und Benachrichtigung war OpenAI beteiligt. „Angesichts des Schweregrads dieser Schwachstellen und der weiten Verbreitung von PHP halten wir dies für eines der folgenreichsten Sicherheitsprobleme der jüngeren Zeit“, erklärte das Unternehmen.

Sicherheitsforscher von Wiz, die als eine von mehreren Organisationen für die Entdeckung der Lücken genannt werden, erklären, dass jede in den vergangenen zehn Jahren veröffentlichte PHP-Version von mindestens einer der beiden Schwachstellen betroffen ist. „Diese Funde zählen zu den schwerwiegendsten Schwachstellen, die je in PHP entdeckt wurden – und wohl auch in der Geschichte der Software“, heißt es in einem Blogbeitrag des Wiz-Teams. Die zugrunde liegenden Fehler hätten jahrzehntelang existiert, doch der Nachweis ihrer Ausnutzbarkeit habe eine außergewöhnlich komplexe Kette von Schritten erfordert, „am Rand dessen, was menschliche Forscher praktisch leisten konnten“. Moderne KI-Modelle hätten diese Hürde erheblich gesenkt und „einen lange bestehenden Fehler in einen Exploit verwandelt“.

Die Wiz-Forscher halten eine Massenausnutzung für wahrscheinlich, bei der Angreifer webbasierte Hintertüren beziehungsweise Web Shells installieren – also Oberflächen, über die sich infizierte Websites aus der Ferne steuern lassen. Vor der Veröffentlichung habe Wiz gemeinsam mit dem PHP-Team, Calif und OpenAI das Ausmaß des Problems vermessen sowie Patch-Prüfung und Offenlegung koordiniert.

Nach Einschätzung von Wiz ist PHP so tief in vielen Webanwendungen verankert, dass Organisationen noch längere Zeit mit dem Einspielen der Updates zu kämpfen haben dürften. Das Unternehmen vergleicht das Schwachstellenpaar mit Log4Shell, der 2021 bekannt gewordenen, extrem weit verbreiteten Lücke im Java-Logging-Framework Log4j. „Eine Schwachstelle im Kern von PHP reicht weit über eine einzelne Anwendung hinaus“, schreiben die Forscher. „PHP läuft in Clouds, bei Hosting-Anbietern, in Content-Delivery-Netzwerken und auf Millionen unabhängig verwalteter Server. Die Angriffsfläche zu verringern, bevor die technischen Details öffentlich wurden, erforderte koordinierte Arbeit über dieses gesamte Ökosystem hinweg.“

Das SANS Internet Storm Center beobachtet, welche großen Softwareplattformen Aktualisierungen gegen die PHP-Lücken ausliefern. Ubuntu etwa hat soeben aktualisierte PHP-Pakete veröffentlicht.