LONDON (IT BOLTWISE) – Wiz beschreibt eine neue Angriffsstrategie namens PHP2Shell, die auf Speicherfehler im PHP-Kern abzielt. Die Forscher ordnen mehrere Schwachstellen zwei CVEs zu und nennen eine Gesamt-Schwere bis zu CVSS 9.2. Entscheidend ist, dass die Ausnutzung ohne Authentifizierung funktionieren kann und damit nicht an einzelne Anwendungen gebunden ist. Laut Angaben wurde der Patch am 21. Oktober 2026 bereitgestellt, nachdem KI-gestützte Analyse die praktische Exploitierbarkeit deutlich verkürzt hatte.
Weniger auffällig als ein typischer CMS-Exploit, aber potenziell viel breiter wirkend: PHP2Shell greift nicht zuerst die Logik einer Webanwendung an, sondern setzt an zentralen Speicherverwaltungsfehlern im PHP-Engine-Teil an. Laut Wiz Research ist PHP mit einem Anteil von etwa 70% an Websites eine wichtige Grundlage im Web-Ökosystem – und genau deshalb richtet sich die Kritik nicht gegen einzelne Plugin-Architekturen, sondern gegen wiederkehrende Muster in der Verarbeitung von Anfragen, Fatal Errors und internen Zuständen. Wenn eine Ausnutzung gelingt, sollen Angreifer Server kompromittieren, sensible Daten auslesen und betroffene Websites verändern können; besonders riskant ist dabei die Kombination aus Speicher-Offenlegung und Remote Code Execution.
Die Schwachstellen werden unter zwei CVEs gebündelt und erreichen laut Quelle eine Einstufung mit CVSS 9.2. Auffällig ist, dass praktisch jede PHP-Version der letzten zehn Jahre mindestens eine relevante Variante enthalten soll – rückwirkend bis PHP 5.4. Der Weg zur Ausnutzbarkeit verläuft dabei über Speicher-Sicherheitslücken (memory-safety): Fehler beim Umgang mit kritischen Fehlersituationen, etwa Out-of-Memory, können einen korrupten internen PHP-Zustand hinterlassen. Danach kann ein späterer Request oder ein persistenter Worker diesen „stale state“ wiederverwenden. In der Konsequenz entsteht eine Angriffsoberfläche, die nicht darauf angewiesen ist, dass die Anwendung spezifische Funktionen nutzt, und die damit auch dort gefährlich wird, wo das eigentliche Anwendungsprogramm minimalistisch bleibt.
Technisch beschreibt Wiz, wie mehrere konkrete Primitive aus diesem Grundmuster entstehen. Bei einem Szenario, dem Upload-progress-unserializer Use-after-free, kann der Session-Decoder im Kontext der Upload-Progress-Verarbeitung Daten aus einem Pre-Initialization-Fenster ziehen und globalen Zustand veröffentlichen, obwohl eine Fatal Allocation Failure den regulären Aufräumprozess unterbricht. In einem späteren Request soll der Worker Speicher verwerten, den der Angreifer zuvor „zurückerobert“ hat; der alte Unserializer-Status wird dann zu einer Speicher-Korruptionsbasis, die zusammen mit einer Speicheroffenlegung die Adressunsicherheit reduziert. Wiz demonstriert dazu eine unauthentifizierte RCE auf WordPress, Drupal und Joomla, betont aber gleichzeitig, dass die eigentliche Ursache im PHP-Kern liegt und die Demonstrationen eher als repräsentative Zielketten zu verstehen sind.
Eine zweite Lücke adressiert den Remote Process-Memory-Zugriff: PHP verarbeitet RFC1867-Multipart-Requests bereits in einer frühen Phase des Request-Starts, bevor normale Module vollständig initialisiert sind. Wenn Session-Upload-Progress-Handling in diesem frühen Stadium Session-Zustand anlegt, kann ein Out-of-Memory-Fehler dazu führen, dass ein Session-Token-Pointer (in der Quelle als PS(id) beschrieben) auf freigegebenes Heap-Material zeigt. Ein späterer Multipart-Request, der von demselben Worker abgearbeitet wird, soll dann über einen Clean-up-Pfad laufen, ohne dass der Pointer korrekt zurückgesetzt wird. PHP vertraut dabei dem veralteten Pointer und der Länge, kodiert den Inhalt URL-encodiert in eine PHPSESSID-Cookie und macht so einen Bereich von Worker-Speicher zugreifbar – auch dann, wenn die Anwendung selbst gar keinen session_start()-Aufruf tätigt. Ergänzend nennt Wiz eine Variante auf Basis eines Fatal-error-backtrace Use-after-free, bei der ein Executor-Globalwert über Requests hinweg stehen bleibt, bis ein nachfolgender Request ihn über einen Frühpfad „abgreifen“ kann.
Damit erklärt sich auch, warum die Quelle OPcache als weiteren Hebel beschreibt: Shared Memory und Type-Informationen müssen zwischen Workern konsistent bleiben, aber eine Ausnahmesituation zwischen lokalem Frontend-Fortschritt und dem Zeitpunkt der shared-State-Persistenz kann zu Typverwechslung führen. Wenn ein Worker eine Slot-Entscheidung wiederverwendet, während der Shared State die Metadaten anders interpretiert, entsteht eine cross-worker Type Confusion, die wiederum die Integrität der OPcache-Strukturen schädigen kann. In der Quelle wird diese Primitive genutzt, um eine unauthentifizierte RCE-Kette aufzubauen; insgesamt zeigt das Muster, dass es weniger um einzelne Konfigurationen geht als um eine tiefer liegende Architekturentscheidung, die sich über viele Jahre hinweg durch den Code gezogen hat.
Der Kern der Story ist jedoch nicht nur die Schwachstelle, sondern die Rolle der KI bei der „Übersetzung“ in praktikable Angriffe. Wiz beschreibt, dass die relevanten Fehler seit mehr als einem Jahrzehnt existiert hätten, dass die Demonstration der Exploitierbarkeit jedoch eine außergewöhnlich komplexe Kette aus Chaining, Anpassung an Speicherlayouts und iterativem Debugging erforderte. Frontier-Modelle hätten diese Hürde spürbar reduziert: Laut Quelle konnten funktionierende Exploits über mehrere Anwendungen hinweg „in Stunden“ angepasst werden, während der manuelle Aufwand vorher deutlich höher gewesen wäre. Genannt werden dabei Werkzeuge und Modelle, darunter Wiz Atlas, Gemini 4 Argon und GPT-5.6 Sol; insbesondere Gemini 4 Argon habe einen Beitrag geleistet, der von der Schwachstellenermittlung über die Exploit-Entwicklung bis zur Validierung des Patches reicht. Die Quelle ordnet das als „AI-Inflection Point“ ein, weil sich damit die bisherige Annahme verändert, dass Komplexität allein Angriffe effektiv genug bremst.
Für die Praxis folgt daraus eine klare Priorisierung: Da der Patch am 21. Oktober 2026 bereitgestellt worden sein soll, bleibt für Organisationen, die nicht zeitnah aktualisieren können, nur ein Zwischenweg aus Erkennung und Risikoreduktion. Wiz verweist auf ein Threat-Intel-Angebot, das agentless und per Runtime-Detektion arbeiten kann, inklusive automatisierter Response-Policies zur Prozessbeendigung bei beobachteten Verhaltensmustern. Unabhängig von der exakten Toolchain nennt die Quelle als typische Signale etwa ungewöhnliche Multipart-Requests in Verbindung mit Memory-Limit-Fehlern oder wiederholten HTTP-500-Antworten, unerwartet große oder fehlerhafte PHPSESSID-Cookies sowie ein auffälliges Worker-Churn-Verhalten. Gleichzeitig bleibt die Aktualisierung der „vollständige“ Remediation, weil die Fehler im PHP-Kern behoben werden müssen und nicht nur anwendungsseitige Schutzmaßnahmen greifen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PHP2Shell: KI macht alte PHP-Sicherheitslücken für RCE praktisch ausnutzbar" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PHP2Shell: KI macht alte PHP-Sicherheitslücken für RCE praktisch ausnutzbar" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PHP2Shell: KI macht alte PHP-Sicherheitslücken für RCE praktisch ausnutzbar« bei Google Deutschland suchen, bei Bing oder Google News!