Programmiersprache: Was ist PHP?
und wie der Angriff mit KI gestoppt werden konnte.
Weltweit kam es zur Abschaltung von Webseiten, hier bei der Stadt Mainz.
Thomas Frey/dpa- Zwei kritische PHP-Schwachstellen „PHP2Shell“ wurden am Mittwoch, 21. Oktober 2026, publik.
- Angriffe aus der Ferne sind möglich, zudem droht das Auslesen von Daten aus dem Arbeitsspeicher.
- PHP treibt laut Forschenden rund 70 Prozent der Websites – Updates sind daher dringend nötig.
- Fix verfügbar: PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 – WordPress-Update allein reicht nicht.
- KI half bei Analyse und Tests, darunter Werkzeuge von Wiz Research wie Gemini 4 Argon und GPT-5.6-Sol.
Die Zusammenfassung wurde von einer generativen künstlichen Intelligenz erstellt.
PHP ist eine Programmiersprache, mit der viele Websites ihre Inhalte zusammenstellen. Man kann es sich wie einen Koch vorstellen: PHP holt die passenden Daten aus einer Datenbank und serviert jedem Besucher die richtige Seite. PHP läuft unsichtbar auf dem Server und erzeugt dynamisch den fertigen HTML-Code, der dann an den Browser des Nutzers gesendet und als sichtbare Webseite dargestellt wird.
Statt tausende statische HTML-Seiten manuell zu erstellen, genügt eine einzige PHP-Vorlage – die sich automatisch mit den richtigen Inhalten befüllt, egal ob es ein Nutzerprofil, ein Produkt im Shop oder ein Nachrichtenartikel ist. Systeme wie WordPress, Drupal und Wikipedia nutzen PHP.
Globaler „PHP2Shell“-Zwischenfall
Am Mittwoch, 21. Oktober 2026, wurden zwei kritische Schwachstellen in PHP öffentlich. Unter dem Namen „PHP2Shell“ könnten sie Angreifern ermöglichen, aus der Ferne Schadcode auf betroffenen Servern auszuführen oder Daten aus deren Arbeitsspeicher auszulesen. Die Bedeutung reicht weit: PHP steckt laut den Forschenden hinter rund 70 Prozent aller Websites weltweit.
Der Vorfall zeigt auch, wie KI bei der Sicherheitsforschung helfen kann. Die US-Firma Wiz Research nutzte mehrere Werkzeuge, darunter Gemini 4 Argon und GPT-5.6-Sol, um die Schwachstellen zu untersuchen, Angriffe nachzustellen und die Korrekturen zu prüfen. Die Entdeckung war jedoch Teamarbeit – mit Forschern und den PHP-Verantwortlichen.
Für Betreiber betroffener Websites gilt: PHP selbst muss aktualisiert werden; ein Update von WordPress allein reicht nicht. Die korrigierten Versionen sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Wer eine Website betreibt, sollte prüfen, ob der Hosting-Anbieter das Update eingespielt hat.