Medienberichte thematisieren die Kontroverse um die vorzeitige, unautorisierte Veröffentlichung von Details zu den neu entdeckten PHP-Schwachstellen vor deren Behebung. Betroffen sind zwei kritische Lücken im PHP-Kern, die nicht authentifizierte Angriffe aus der Ferne erlauben. Die Korrekturen erschienen am 21. Oktober 2026, einen Tag früher als ursprünglich geplant.
Am 20. Oktober 2026 wurden die Kennungen CVE-2026-109618 und CVE-2026-109619 öffentlich, unter anderem über einen Beitrag auf Hacker News und einen Post des Sicherheitsunternehmens watchTowr. Beide Lücken betreffen den PHP-Interpreter und sind nach CVSS 4.0 mit 9,2 bewertet; sie erlauben nicht authentifizierte Codeausführung aus der Ferne. Eine der Lücken entsteht bei der Behandlung von Speicherfehlern (OOM-Korruption), die andere ist eine Use-after-free-Schwachstelle mit zurückbleibendem globalen Zustand. Betroffen waren nach Angaben des PHP-Projekts alle Versionen ab 5.4.
Die Sicherheitsupdates erschienen am 21. Oktober um 13:34 UTC in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35; ursprünglich war der 22. Oktober vorgesehen. Die PHP Foundation zog den Termin nach eigenen Angaben vor, nachdem die CVE-Kennungen vorab die Runde gemacht hatten. Für die abgekündigten Versionen 7.4 bis 8.1 veröffentlichte das Projekt minimale Quellcode-Backports, offizielle Binaries gibt es dafür nicht; die Versionen 5.4 bis 7.3 erhalten keine Korrektur mehr. Das Projekt bezeichnet das Update als einzige vollständige Behebung.
Nach Erhebungen von W3Techs nutzen rund 69 Prozent der Websites mit bekannter serverseitiger Programmiersprache PHP, darunter WordPress, Drupal, Joomla, Laravel und Magento; hinzu kommen Steuerungsoberflächen wie cPanel und Plesk. CERT-EU, das britische NCSC und die US-Behörde NSA rieten dazu, nicht kurzfristig aktualisierbare Systeme vorübergehend vom Netz zu nehmen. Niederländische, finnische, französische und kanadische Regierungsangebote waren zeitweise offline, ebenso zahlreiche Dienste der Wikimedia Foundation sowie kurzzeitig das Internet Archive.
Ausnutzungsversuche gab es bereits vor der Offenlegung: Amazon Threat Intelligence fand in seinen Honeypot-Daten einen Versuch vom 17. Oktober, vier Tage vor der Veröffentlichung. Cloudflare meldete am 21. Oktober erste Angriffe und stellte vorläufige WAF-Regeln bereit, die das Unternehmen selbst als Übergangslösung bezeichnete. Die US-Behörde CISA hatte am 21. Oktober noch keine bestätigte Ausnutzung gemeldet; am 26. Oktober nahm sie beide Lücken in den Katalog bekannter ausgenutzter Schwachstellen (KEV) auf.
Unterschiedlich dargestellt wird, wem die Entdeckung zuzurechnen ist. Die Lücken wurden unabhängig voneinander gefunden: Der Forscher Ryan Austin vom Sicherheitsunternehmen Calif entdeckte sie im August 2026 im Rahmen des OpenAI-Projekts „Patch the Planet“ mithilfe des Modells GPT-5.6 Sol. Das zu Google gehörende Unternehmen Wiz fand sie nach eigener Darstellung ebenfalls im August und nutzte dafür Gemini 4 Argon, GPT-5.6 Sol und das eigene Werkzeug Wiz Atlas. Beide Darstellungen stehen nebeneinander; welche Seite zuerst fand, geht aus den veröffentlichten Berichten nicht eindeutig hervor.
In einem am 30. Oktober veröffentlichten Leserbrief in The Guardian zog David Gibson die Konsequenz, das eigentliche Problem sei die Offenlegung von Details vor der Behebung gewesen. Die Berichterstattung verwies zudem darauf, dass die PHP Foundation, die die Sprache wartet, 13 Voll- und Teilzeitkräfte beschäftigt und auf finanzielle Beiträge angewiesen ist, während in die KI-Forschung, der die Entdeckung zugeschrieben wird, Milliardensummen fließen.
Für Handwerksbetriebe und KMU ergibt sich daraus eine Frage, die vor dem Ernstfall geklärt sein muss. Websites laufen in der Regel beim Hoster; betroffene Betriebe erfahren nicht, wer eine Lücke zuerst gesehen hat, sondern wann gepatcht wurde. Praktisch relevant sind ein Meldeweg, der auch dann funktioniert, wenn die Nachricht aus einem Forum statt aus der Hersteller-Mail kommt, und eine im Voraus getroffene Regelung, wer in dringenden Fällen ohne Rücksprache entscheiden darf. Das ist keine technische Detailfrage, sondern eine Abmachung, die vor dem Vorfall zu treffen ist.
Autor: Team REN-AI-SSANCE – mit KI-Unterstützung erstellt, von Menschen geprüft und freigegeben.
Quelle: The Guardian – Originalartikel vom 30.10.2026; Abruf/Archivstand: 31.10.2026
