PHP-Schwachstellen: OpenAI startet globale Initiative „Patch the Planet“

Forscher von OpenAI haben mithilfe des KI-Modells GPT-5.6 Sol eine kritische Schwachstelle in der weit verbreiteten Programmiersprache PHP entdeckt und daraufhin die weltweite Initiative „Patch the Planet“ ins Leben gerufen.

Die Aktion führte über zwei Monate hinweg eine Koalition aus Software-Maintainern, Sicherheitsforschern und Technologieanbietern zusammen, um die weitreichenden Sicherheitslücken im Web-Ökosystem zu schließen.

Während der koordinierten Behebung registrierte Amazon am 21. Oktober 2026 über sein Überwachungssystem MadPot bereits Exploit-Versuche noch vor der offiziellen Offenlegung, wobei unklar blieb, wie die Angreifer an die entsprechenden Informationen gelangt waren.

OpenAI bezeichnete die Entdeckung als eines der folgenschwersten Sicherheitsprobleme der jüngeren Vergangenheit. Das Unternehmen betonte, dass hochentwickelte Grenzwert-KI die Lücken vor potenziellen Angreifern aufgespürt habe, was Verteidigern einen zeitlichen Vorsprung verschafft habe. Um Abwehrkräfte an vorderster Front zu unterstützen, stellte OpenAI 1 Mrd. USD für subventionierten Zugang zu Daybreak bereit.

Zudem schlug das Unternehmen einen fünfstufigen Rahmen zur Krisenkoordination vor. Dieser umfasst die Validierung und Behebung, Karenzzeit für betroffene Organisationen, Abstimmungen mit Regierungsstellen wie der White House Super Intelligence Force, dem ONCD und der CISA sowie die Vorbereitung von Updates und die Veröffentlichung technischer Anleitungen. Ein PHP-Versionschecker wurde als Codex-Skill bereitgestellt, während die Website der Initiative auf die Analyseplattform php2shell.com verweist.

Wer sich mit der Absicherung digitaler Infrastrukturen befasst, muss heute auch die rechtlichen Rahmenbedingungen für neue Technologien kennen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer im Kontext neuer KI-Gesetze und Cyberrisiken jetzt kennen müssen. Kostenlosen Cyber-Security-Report jetzt herunterladen

Sicherheitslücken bedrohen Kerninfrastruktur des Webs

Die Schwachstellen wurden unabhängig voneinander auch von Wiz Research und dem Sicherheitsunternehmen Calif identifiziert. Calif fand eine kritische Lücke mithilfe von GPT-5.6 Sol und meldete diese am 11. August.

Wiz reichte eine zweite Schwachstelle am 24. August ein. Nach Angaben von Wiz existierten die Fehler seit über einem Jahrzehnt in sämtlichen PHP-Versionen ab Version 5.4. Die Ausnutzung habe jedoch eine extrem komplexe Kette erfordert.

Wiz verglich die Tragweite mit der Heartbleed-Schwachstelle aus dem Jahr 2014 und erklärte, dass ein einzelner Forscher nun innerhalb einer Woche Ergebnisse erzielt habe, für die früher ein hochkarätiges Team mehrere Monate benötigt hätte.

Unter den Bezeichnungen CVE-2026-109618 und CVE-2026-109619 eingestuft, erhielten die Schwachstellen eine Bewertung von 9.2 auf der CVSS-Skala. Sie ermöglichen es unbefugten Angreifern, ohne Authentifizierung Schadcode auszuführen oder Prozessspeicher auszulesen, was den Diebstahl von Passwörtern, Tokens und API-Schlüsseln erlaubt.

Die zunehmende Komplexität von Cyberangriffen erfordert ein proaktives Handeln, um Sicherheitslücken zu schließen, bevor sie ausgenutzt werden. Experten erklären in diesem kostenlosen E-Book, wie Sie Ihre IT-Sicherheit ohne hohe Investitionen stärken und sich wirksam gegen Bedrohungen absichern. Gratis-E-Book für proaktive IT-Sicherheit sichern

Der von Wiz entwickelte Exploit „php2shell“ demonstrierte die erfolgreiche Fernausführung von Programmcode auf aktuellen Containern gängiger Content-Management-Systeme wie WordPress, Drupal und Joomla.

Wiz griff dabei neben GPT-5.6 Sol auch auf Wiz Atlas und Gemini 4 Argon zurück. WordPress stellte klar, dass das Problem nicht im eigenen Code liege, sondern von Serverbetreibern und Hostern auf PHP-Ebene behoben werden müsse.

Behörden warnen vor akuter Bedrohung

Die PHP Foundation reagierte mit der Veröffentlichung aktualisierter Versionen und stellte Patches für PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bereit. Ältere Versionen wie PHP 8.1 und darunter erhalten keine Unterstützung mehr. An den Vorbereitungen waren Branchenpartner wie Cloudflare, AWS, Google, Microsoft, Fastly, Imperva, Akamai, Automattic und Vercel beteiligt.

Linux-Distributionen und Anbieter mit Langzeitunterstützung erhielten die Korrekturen vorab. Am 21. Oktober 2026 aktivierte Cloudflare zudem eigene Schutzmechanismen auf Firewall-Ebene für potenziell gefährdete Systeme.

Angesichts der Bedrohungslage empfahlen US-Behörden wie die NSA und das FBI die sofortige Aktualisierung betroffener Systeme oder deren vorübergehende Trennung vom Netz. Behörden in Großbritannien, Kanada, Australien, Singapur und der Europäischen Union gaben vergleichbare Warnungen heraus.

Mehrere Regierungswebsites in Europa waren in der Folge nicht erreichbar, darunter Angebote des deutschen Bundesministeriums für Digitales sowie Portale von Behörden in Frankreich, Belgien, Finnland, Tschechien und den Niederlanden.