Aktualisiert 23.10.2026.
Sicherheitsforscher entdeckten zwei kritische PHP-Schwachstellen, die Angreifern die Remote-Ausführung von Befehlen auf Webservern erlauben könnten. Die künstliche Intelligenz (KI) spielte eine entscheidende Rolle bei der Identifizierung der Fehler und bei der Demonstration ihrer Gefährlichkeit. Dutzende Unternehmen und staatliche Online‑Dienste weltweit schalteten ihre Websites vorübergehend ab, während Sicherheitsupdates eingespielt wurden. Unterdessen hat Cloudflare bereits Millionen von Exploit‑Versuchen registriert – und die Zahl dürfte weiter steigen.
Dutzende Websites in mehreren Ländern offline, während Cloudflare Millionen Angriffswerte registriert
Am 21.10.2026 begannen Regierungswebsites und E‑Dienste in mehreren Ländern vorsorglich offline zu gehen. Ursache waren zwei kritische Sicherheitslücken in PHP, einer Programmiersprache, die von fast 70 % aller Websites weltweit genutzt wird. Die als CVE-2026-109618 und CVE-2026-109619 identifizierten Schwachstellen, zusammen bekannt als PHP2Shell, konnten unter bestimmten Bedingungen Angreifern die Ausführung von schädlichem Code auf Servern ermöglichen.
In den Niederlanden waren staatliche Online‑Portale vorübergehend nicht erreichbar, und auch mehrere Dienste staatlicher Stellen in Finnland waren betroffen. Ähnliche Vorsichtsmaßnahmen wurden in Frankreich, Deutschland, Belgien und weiteren Ländern ergriffen. Betroffen waren außerdem Websites von Krankenhäusern, Bildungseinrichtungen und Privatunternehmen.
Organisationen schränkten den Zugriff auf ihre Websites ein, um sie bis zur Installation der Sicherheitsupdates vor möglichen Angriffen zu schützen. Diese Vorsicht war berechtigt: Kriminelle hatten bereits begonnen, die Schwachstellen auszunutzen, noch bevor die Details öffentlich wurden. Zehn Stunden vor der offiziellen Bekanntgabe hatte Cloudflare mehrere tausend Exploit‑Versuche aufgezeichnet. Nach der Veröffentlichung stieg die bösartige Aktivität drastisch an: Innerhalb der ersten 45 Minuten lagen die Versuche im fünfstelligen Bereich, nach zwei Stunden im sechsstelligen und bis zum 22.10.2026 waren bereits Millionen von Exploit‑Versuchen registriert worden.
Schützen Sie sich vor gefährlichen Websites
Cyberkriminelle nutzen solche Schwachstellen, um Websites zu kompromittieren und Malware zu verbreiten. Kaspersky Premium blockiert gefährliche Websites und schädliche Downloads und schützt so Ihre Geräte und persönlichen Daten.
Testen Sie Kaspersky Premium kostenlosAI half dabei, die Gefährdung einer in 2024 erstmals identifizierten PHP-Schwachstelle zu belegen
PHP-Entwickler hatten bereits 2024 Hinweise auf eine der Schwachstellen bemerkt. Nach einem unabhängigen Sicherheitsaudit identifizierten Forscher ein Problem im Speichermanagement und vermuteten, dass sich daraus eine Ausnutzbarkeit ergeben könnte. Damals gelang es ihnen jedoch nicht, zu beweisen, dass die Schwachstelle zu Remote‑Code‑Execution führen kann. Eine Behebung wurde vertagt, da Änderungen die Kompatibilität von PHP mit anderen Komponenten gefährdet hätten und das kleine Entwicklerteam nicht die Ressourcen hatte, das komplexe Problem sofort zu lösen.
Die Lage änderte sich im Sommer 2026, als künstliche Intelligenz in die Untersuchung einbezogen wurde. Am 11.08.2026 nutzte ein Forscher aus Kalifornien das Modell GPT-5.6 Sol, um zu bestätigen, dass die Schwachstelle eine nicht authentifizierte Remote‑Code‑Ausführung auf einem Server ermöglichen kann. Der Forscher meldete die Ergebnisse an die PHP‑Entwickler. Am selben Tag reichte OpenAI unabhängig einen Bericht ein, der dasselbe Problem beschrieb. Forscher bei Wiz stellten später eigene Erkenntnisse vor und nutzten dabei mehrere AI‑Tools, darunter Gemini 4 Argon. Diese KI‑Modelle halfen den Forschern, Quellcode zu analysieren, Proof‑of‑Concept‑Angriffsszenarien (PoC; Nachweis der Ausnutzbarkeit) zu entwickeln und mögliche Fixes zu testen.
Nachdem die Forscher die Schwere der Schwachstellen nachgewiesen hatten, wurde die Behebung für die PHP‑Foundation zur Priorität. Am 21.10.2026 PHP‑Maintainer veröffentlichten gepatchte Versionen: 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Beide Schwachstellen, jeweils mit einem Schweregrad von 9,2 von 10 bewertet, wurden in diesen Releases behoben.
Wie Sie Ihre Websites im Zeitalter der AI schützen
Künstliche Intelligenz hilft Sicherheitsforschern, Softwarelücken schneller zu finden – auch solche, die jahrelang unentdeckt blieben. So wurden etwa im zweiten Quartal 2026 weltweit rund 2.700 kritische Schwachstellen entdeckt, ein Anstieg von 34 % gegenüber dem gleichen Zeitraum des Vorjahres. Experten führen einen Teil dieses Anstiegs auf den vermehrten Einsatz von AI zurück, der die Analyse großer Quellcodedatenmengen effizienter macht.
Allerdings können auch Cyberkriminelle AI nutzen, um neu entdeckte Schwachstellen schneller zu untersuchen und Exploit‑Methoden zu entwickeln. Dadurch bleibt Organisationen immer weniger Zeit zwischen der öffentlichen Offenlegung einer Schwachstelle und den ersten Ausnutzungsversuchen.
Um die Sicherheit von Websites zu verbessern, sollten Website‑Betreiber und Server‑Administratoren folgende Maßnahmen ergreifen:
- Überwachen Sie Sicherheits‑Releases und installieren Sie Updates umgehend. Wenn eine kritische Schwachstelle veröffentlicht wird, ist das schnelle Einspielen des entsprechenden Sicherheitsupdates essenziell. Bei PHP2Shell sollten Website‑Betreiber PHP auf eine sichere Version aktualisieren. Ist ein sofortiges Update nicht möglich, beschränken Sie temporär den öffentlichen Netzwerkzugang zum verwundbaren Dienst.
- Schützen Sie Websites vor Exploit‑Versuchen. Setzen Sie Web‑Application‑Firewalls (WAFs) ein, um eingehende Anfragen zu analysieren und bösartigen Traffic zu blockieren. Zum Beispiel nutzt Kasperskys WAF Machine‑Learning‑Verfahren und Filterregeln, um verdächtige Anfragen zu erkennen, darunter auch Versuche, Schwachstellen in Webanwendungen auszunutzen. Dieser Schutz reduziert das Risiko während das Administratoren Security‑Patches einspielen.
- Überwachen Sie Server‑Sicherheit und Software‑Versionen. Prüfen Sie regelmäßig die Versionen installierter Software, einschließlich älterer oder selten genutzter Anwendungen und Dienste. So lassen sich Systeme identifizieren, die wichtige Sicherheitsupdates verpasst haben könnten.
Weiterführende Artikel:
- Was ist ein Zero‑Day‑Angriff? Definition und Erklärung
- Wie künstliche Intelligenz (KI) und Machine Learning die Cybersicherheit formen
- Was sind Web‑Bedrohungen?
Empfohlene Produkte:
