KI entdeckt kritische Lücken im Fundament des Webs: PHP2Shell bedroht 70 Prozent aller Websites
Wiz Research, OpenAI Codex Security und Calif haben mit KI-Unterstützung zwei Schwachstellenklassen im PHP-Kern aufgedeckt, die als CVE-2026-109618 und CVE-2026-109619 mit CVSS 9.2 bewertet werden. Angreifer können ohne Anmeldung Code ausführen oder Passwörter, Tokens und API-Keys aus dem Prozessspeicher auslesen – nachgewiesen an WordPress, Drupal und Joomla. Betroffen sind PHP-Versionen bis zurück zu 5.4; nur ein Upgrade des PHP-Runtimes schließt die Lücken vollständig.
Websites können betroffen sein, selbst wenn ihr Anwendungscode sicher ist – einschließlich einer einfachen „Hello World“-Anwendung, die auf einer verwundbaren PHP-Version läuft.