Ein neuer Medium-Bericht nennt konkrete Kennungen und Folgen für zwei mutmaßliche PHP-Schwachstellen. Er führt CVE-2026–109618 und CVE-2026–109619 auf und bewertet sie mit 9,2. Nach Darstellung des Berichts können Angreifer ohne Anmeldung aus der Ferne Code ausführen, Server übernehmen, Daten stehlen und Besucher angreifen. Die Fehler sollen mehr als ein Jahrzehnt, beziehungsweise rund zwölf Jahre, unentdeckt geblieben sein.

PHP betreibt laut dem Artikel Millionen Websites. WordPress komme dabei auf mehr als 40 Prozent des Webs. Für Palo Alto Networks wird die Schätzung von 22,6 Millionen exponierten Instanzen genannt. Nicholas Weaver soll gegenüber Cybersecurity Dive berichtet haben, dass Angriffe bereits im freien Internet beobachtet werden. Cisco zufolge läuft ungefähr die Hälfte der aus dem Internet erreichbaren PHP-Instanzen auf Versionen ohne Sicherheitsunterstützung.

CISA sowie Sicherheitsbehörden aus Großbritannien, Kanada, Australien und der EU hätten Organisationen aufgefordert, betroffene Websites bis zur Installation eines Patches vom Netz zu nehmen. Der Bericht nennt Finnlands öffentliche staatliche Onlinedienste, die Website der niederländischen nationalen Cybersicherheitsbehörde und französische Präfektur-Websites als vorübergehend abgeschaltete Systeme. Auch Wikimedia soll einige Systeme deaktiviert haben, wodurch Teile von Wikipedia kurzzeitig nicht erreichbar gewesen seien.

Die NSA habe vor einem direkten Zugang zum Dateisystem oder zur Datenbank eines Servers gewarnt. Das Weiße Haus erklärte demnach, US-Bundesbehörden prüften ihren PHP-Einsatz. Die US-Regierung habe am 16. Oktober von der Schwachstelle erfahren. Der Patch sollte laut Artikel später erscheinen. Nach einem Leak in sozialen Medien am Dienstag brachten die PHP-Entwickler den Notfall-Fix einen Tag früher heraus.

Als Entdecker nennt der Bericht den Sicherheitsanbieter Wiz und OpenAIs GPT-5.6 Sol. Das Modell habe im Rahmen des Programms Patch the Planet gearbeitet. OpenAI beschrieb die Behebung als besonders aufwendig, weil dafür eine grundlegende Änderung an der PHP-Engine nötig gewesen sei. Der Auszug verweist auf ein Sicherheits-Bulletin und einen Notfall-Release von php.net, nennt aber weder betroffene noch korrigierte PHP-Versionen.

Der Beitrag wertet den Fund als Hinweis auf einen Wandel der defensiven IT-Sicherheit durch KI. Zugleich warnt er davor, dass Angreifer nach Veröffentlichung des Patches ähnliche Werkzeuge einsetzen könnten. Als offene Fragen nennt er mögliche Einbrüche in den nächsten 72 Stunden, die Aktualisierung veralteter Installationen und die Zukunft von Patch the Planet als Modell für Open-Source-Sicherheit. Heartbleed und Log4j werden als Beispiele für Fehler genannt, die ein solches Programm künftig verhindern könnte. Für alte Systeme erwartet der Artikel ein erhebliches Ausfallrisiko.

Als Quellen führt der Text CISA, die NSA, internationale Warnungen aus dem Oktober 2026, eine Erklärung des Weißen Hauses, OpenAI, Wiz, Palo Alto Networks, Cisco, Cloudflare, Cybersecurity Dive, The Wall Street Journal und php.net an.