Zwei kritische Lücken stecken seit PHP 5 in der Programmiersprache und betreffen rund 70 % der Websites. KI-Modelle halfen zwei Teams, die Fehler vor Angreifern zu finden. Die PHP Foundation hat Patches ausgeliefert, empfohlen wird PHP 8.5.12. Die NSA mahnt zu raschem Handeln, weil Sprachmodelle Angriffe künftig leichter anpassen können.
Zwei kritische Lücken stecken seit 2004 in PHP und betreffen rund 70 % aller Websites. Wer Server betreibt, sollte jetzt auf PHP 8.5.12 aktualisieren.
Das Wichtigste in Kürze
- Zwei kritische Lücken in PHP: Sie erlauben Zugriff auf das Dateisystem des Servers oder auf eine angebundene Datenbank.
- Betroffen sind alle Versionen seit PHP 5: Die Foundation hat Patches ausgeliefert, empfohlen wird PHP 8.5.12.
- KI hat die Fehler gefunden: Mehrere Teams setzten dafür Sprachmodelle ein, bevor Angreifer die Lücken kannten.
- Die NSA mahnt zur Eile: Wer nicht sofort patchen kann, soll die Seite vom Netz nehmen.
PHP-Lücken: Was die NSA meldet und wen es trifft
TechCrunch hat den Bericht am 21. Oktober 2026 erstmals veröffentlicht. Eine spätere Aktualisierung nennt die Quelle nicht. Der Stand der Meldung ist damit der 21. Oktober 2026. Die US-Behörde NSA hat an diesem Mittwoch eine Warnung veröffentlicht. Die PHP Foundation hat die Korrekturen bereits ausgeliefert.
PHP ist eine Programmiersprache für Server. Laut Bericht läuft rund 70 % des Webs darauf. Auch Content-Management-Systeme wie WordPress nutzen sie.
Die Lücken sind alt. Sie sitzen in allen Versionen seit PHP 5, das 2004 erschien. Angreifer könnten darüber ins Dateisystem des Servers eindringen. Auch eine Datenbank hinter der Anwendung wäre erreichbar.
Dabei gilt: PHP 8.1 und ältere Versionen erhalten keinen Support mehr. Wer so eine Version einsetzt, muss zuerst einen Versionssprung einplanen. Ein blosser Patch genügt dort nicht.
Die Eckdaten im Überblick
| Kennzahl | Wert | Bedeutung |
|---|---|---|
| Verbreitung | rund 70 % der Websites | Sehr viele Firmen und Agenturen sind betroffen |
| Betroffene Versionen | alle seit PHP 5 (2004) | Die Fehler sind über 20 Jahre alt |
| Ohne Support | PHP 8.1 und älter | Hier ist ein Versionswechsel nötig |
| Empfohlene Version | PHP 8.5.12 | Die aktuelle Fassung laut Bericht |
| Angriffe in freier Wildbahn | keine gemeldet | Das Zeitfenster zum Patchen ist offen |
Wie KI die Lücken fand
Zwei Gruppen arbeiteten unabhängig voneinander. Die Firma Calif nahm an der Initiative „Patch the Planet“ von OpenAI teil. Sie fand mit GPT‑5.6 Sol eine der Lücken. OpenAI beschreibt das in einem Blogbeitrag.
Das Team von Wiz suchte separat nach Fehlern. Es nutzte den eigenen KI-Agenten Wiz Atlas, dazu Gemini 4 Argon und GPT‑5.6 Sol. Dabei kamen mehrere Schwachstellen in PHP zum Vorschein.
Beide Seiten hielten sich an die übliche Praxis der verantwortungsvollen Offenlegung. Sie erarbeiteten die Patches zuerst gemeinsam mit PHP. Erst danach machten sie die Fehler öffentlich.
Zudem halfen weitere Firmen beim Testen. Wiz dankt Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft und Vercel.
Warum KI das Risiko erhöht
OpenAI gibt an, dass Forscher die Fehler vor den Angreifern fanden. Es gibt daher keine bekannten Angriffe. Früher waren die Lücken für Kriminelle zu schwer auszunutzen.
Das ändert sich laut Wiz. Sprachmodelle können einen Angriff an andere PHP-Versionen, Konfigurationen und Speicherlayouts anpassen. Die Hürde fällt damit weg.
Damit beginnt ein Wettlauf. Die Lücken sind jetzt öffentlich bekannt. Zig Millionen Websites müssen gepatcht werden, bevor Angreifer die ungepatchten angehen.
Zum Vorgehen gehören diese Schritte:
- PHP-Version auf jedem Server prüfen.
- Auf PHP 8.5.12 aktualisieren, bei PHP 8.1 und älter den Versionssprung planen.
- Bei Hosting-Anbietern nachfragen, ob sie die Patches eingespielt haben.
- Seiten, die sich nicht sofort patchen lassen, vorübergehend vom Netz nehmen.
WordPress hat dazu erklärt, die Lücke betreffe nicht nur dieses System. Betreiber müssen ihre Server patchen und mit dem Hoster klären, ob der Schutz greift.
Einordnung: Was das für Admins und Firmen in der Schweiz heisst
Betreiber von PHP-Servern sollten sofort prüfen, welche Version läuft. Die Frist ist kurz, denn die Lücken sind seit dem 21. Oktober 2026 öffentlich. Wer WordPress oder eine eigene PHP-Anwendung betreibt, muss den Server oder das Hosting-Paket aktualisieren. Wer eine veraltete Version nutzt, hat mehr Arbeit, weil der Versionssprung Tests erfordert. Kosten nennt die Quelle nicht. Der Aufwand hängt vom Alter der Installation ab. Ein Ausfall oder eine Datenpanne dürfte teurer werden als das Update.
Fazit
Du weisst jetzt, dass zwei alte PHP-Lücken akut sind und dass Patches bereitstehen. Prüfe heute die PHP-Version Deiner Server und Deiner Hosting-Verträge. Spiele PHP 8.5.12 ein oder nimm Seiten vom Netz, die Du nicht rasch patchen kannst.
Quellen: TechCrunch KI. Foto: stux / Pixabay. Stand: 22. Oktober 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.