In Kürze

  • Wiz Research deckte unter dem Namen «PHP2Shell» zwei Speicherfehler im PHP-Kern auf (CVE-2026-109618 und CVE-2026-109619, je mit CVSS-Wert 9.2), die alle PHP-Versionen seit 5.4 betreffen und laut Wiz unauthentifizierte Codeausführung unter anderem bei WordPress, Drupal und Joomla ermöglichen.
  • Die Sicherheitsfirma Calif hatte eine der beiden Schwachstellen bereits im August 2026 mit Unterstützung des KI-Modells GPT-5.6 Sol von OpenAI entdeckt; das Wiz-Team fand die Lücken Wochen später unabhängig davon.
  • Die PHP-Entwicklung veröffentlichte am 21. Oktober 2026 die reparierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35; AWS und Cloudflare registrierten laut Berichten bereits am selben Tag erste Ausnutzungsversuche, und mehrere nationale Cybersicherheitsbehörden riefen zur sofortigen Aktualisierung auf.

Was ist passiert?

Wiz Research hat am 21. Oktober 2026 unter dem Namen «PHP2Shell» zwei kritische Speicherfehler im Kern der Programmiersprache PHP offengelegt. Beide Schwachstellen – CVE-2026-109618 und CVE-2026-109619, je mit einem CVSS-v4-Wert von 9.2 bewertet – entstehen laut Wiz aus Fehlern in der Behandlung von Speicher-Erschöpfungssituationen («Out of Memory») während der Anfragenverarbeitung: Ein Use-after-free-Fehler im Unserialisierer für den Session-Upload-Fortschritt sowie veraltete PHP-Globals, die auf bereits freigegebenen Anfragenspeicher verweisen. Betroffen sind alle PHP-Versionen seit 5.4, also praktisch jede in den vergangenen zehn Jahren verbreitete Version.

Die Sicherheitsfirma Calif hatte eine der beiden Schwachstellen bereits im August 2026 mithilfe des KI-Modells GPT-5.6 Sol von OpenAI entdeckt; das Wiz-Team identifizierte die Lücken Wochen später unabhängig davon. Wiz demonstrierte anhand von WordPress, Drupal und Joomla unauthentifizierte Remote-Codeausführung sowie das Auslesen von Prozessspeicher, der häufig API-Schlüssel, Passwörter und Zertifikate enthält. Die PHP-Entwicklung veröffentlichte am 21. Oktober 2026 die reparierten Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als einzige vollständige Abhilfe.

Warum ist das wichtig?

Das Ausmass ist aussergewöhnlich: Nach Angaben von Wiz laufen weltweit rund 70 Prozent aller Websites auf PHP, womit die Lücke zu den am breitesten wirkenden Sicherheitsproblemen der vergangenen Jahre zählt. AWS und Cloudflare meldeten bereits am Tag der Patch-Veröffentlichung erste aktive Ausnutzungsversuche, teilweise schon vor der öffentlichen Offenlegung am 20. Oktober. Mehrere nationale Cybersicherheitsbehörden, darunter die US-amerikanische NSA und europäische Stellen, forderten Unternehmen zu sofortigem Handeln auf; einige Behörden nahmen betroffene Websites vorübergehend vom Netz, um die Aktualisierung durchzuführen.

Der Fall zeigt zugleich eine wachsende Dynamik in der Sicherheitsforschung: KI-Modelle wie GPT-5.6 Sol werden zunehmend eingesetzt, um Schwachstellen in weit verbreiteter, jahrzehntealter Software zu finden, die menschliche Audits lange übersehen haben. Dieselben Fähigkeiten dürften jedoch auch Angreifenden zur Verfügung stehen, was das Zeitfenster zwischen Offenlegung und flächendeckender Ausnutzung weiter verkürzt und den Druck auf schnelles, systematisches Patchen erhöht.

Was bedeutet das für die Schweiz?

Redaktionelle Einordnung: Die folgenden Schlussfolgerungen beziehen sich auf die genannten Quellen. Sie sind keine zusätzlichen Meldungen der Originalquelle.

  • Ein grosser Teil der Schweizer KMU-Websites läuft über PHP-basierte Content-Management-Systeme wie WordPress, Joomla oder Drupal, häufig betrieben bei Schweizer Hosting-Anbietern – genau jene Systeme, für die Wiz unauthentifizierte Codeausführung demonstrierte.
  • Betroffene Betriebe riskieren laut Wiz nicht nur die Übernahme der Website, sondern auch das Auslesen von Prozessspeicher mit API-Schlüsseln, Passwörtern und Zugangstoken – ein Vorfall, der unter dem revidierten Datenschutzgesetz (DSG) als meldepflichtige Verletzung der Datensicherheit gelten kann.
  • Für Schweizer Webagenturen und IT-Dienstleister, die zahlreiche KMU-Websites betreuen, verschärft der Fall den Zeitdruck: Ohne zentrales Patch-Management über viele Kundenprojekte hinweg lässt sich die Lücke kaum rechtzeitig schliessen, bevor automatisierte Angriffswellen auch kleinere, weniger sichtbare Websites erfassen.

Verwendete Quellen

Wiz Research veröffentlichte die technische Analyse am 21./22. Oktober 2026; Fortune, Al Jazeera, ABC7 und der Sicherheitsdienstleister Sansec berichteten zusätzlich über Patch-Stand, erste Ausnutzung und behördliche Warnungen.

Quellenstatus: 1 verlinkte Quelle · 0 von 1 Originaldaten verifiziert. Prüfregeln ansehen

Häufige Fragen

Was ist die Kernaussage zu «PHP2Shell»: Kritische, mit KI entdeckte Sicherheitslücke bedroht rund 70 Prozent aller PHP-Websites?

Wiz Research deckte unter dem Namen «PHP2Shell» zwei Speicherfehler im PHP-Kern auf (CVE-2026-109618 und CVE-2026-109619, je mit CVSS-Wert 9.2), die alle PHP-Versionen seit 5.4 betreffen und laut Wiz unauthentifizierte Codeausführung unter anderem bei WordPress, Drupal und Joomla ermöglichen.

Warum ist diese KI-Meldung für die Schweiz relevant?

Ein grosser Teil der Schweizer KMU-Websites läuft über PHP-basierte Content-Management-Systeme wie WordPress, Joomla oder Drupal, häufig betrieben bei Schweizer Hosting-Anbietern – genau jene Systeme, für die Wiz unauthentifizierte Codeausführung demonstrierte.

Welche Quelle nutzt KI News Schweiz für diese Einordnung?

Wiz Research veröffentlichte die technische Analyse am 21./22. Oktober 2026; Fortune, Al Jazeera, ABC7 und der Sicherheitsdienstleister Sansec berichteten zusätzlich über Patch-Stand, erste Ausnutzung und behördliche Warnungen.