Am 21. Oktober 2026 veröffentlichte Elias Taylor eine Einschätzung zu einer neu diskutierten PHP-Schwachstelle. Er bestreitet weder die Existenz des Fehlers noch dessen Bedeutung. Die Ausnutzung sei jedoch deutlich schwieriger als bei Log4Shell, Heartbleed oder der YAML-Dekodierung in Ruby on Rails.

Taylor zufolge gibt es auf GitHub bereits Tausende angeblicher PoCs. In seinen Tests funktionieren diese Beispiele nicht gegen eine unveränderte PHP-Installation. Er empfiehlt, einen solchen Server in Docker selbst aufzusetzen und die Skripte auszuführen, statt den Ergebnissen eines LLM zu vertrauen.

Der Beitrag nennt david-alvarez-rosa/php-rce, eness/php2shell-CVE-2026-109618-CVE-2026-109619-PoC und ikow/php2shell-poc. Laut Taylor verwenden die meisten dieser Demonstrationen LFI, also Local File Inclusion. Die Angriffskette setzt damit einen weiteren Fehler im Server voraus, der praktisch eine Ausführung wie eval(read(filename_provided_by_user)) ermöglicht. In einem Laboraufbau wird zudem eine vorhandene Schwachstelle benötigt, über die sich auf `/etc/password` zugreifen lässt. Für Taylor belegt eine solche Voraussetzung keinen schwerwiegenden PHP-Exploit.

Die große Zahl nicht funktionierender PoCs führt Taylor darauf zurück, dass Nutzer technische Entscheidungen an Claude, GPT und ähnliche Systeme delegieren. Viele hätten erwartet, dass ein LLM aus dem Patch sofort eine vollständige UAF-Exploit-Kette ableitet. Stattdessen hätten generierte Tests den untersuchten Server teilweise selbst mit einer schweren Schwachstelle versehen. Taylor bezeichnet diese wiederkehrende, vom Modell vorgegebene Vorgehensweise als „Decision Schelling Points“. Ein Lösungsweg werde dabei überproportional häufig verwendet, weil das Modell ihn standardmäßig auswählt.

Zum Vergleich nennt der Artikel ältere Schwachstellen mit kurzen, praktisch nutzbaren Angriffspfaden. Die YAML-Dekodierung in Ruby on Rails ließ sich über einen manipulierten Request-Body auslösen. Bei Log4Shell genügte ein präparierter User-Agent. Shellshock nutzte eine speziell geformte Umgebungsvariable aus. Heartbleed konnte mit einem übergroßen Content-Length-Wert abgefragt werden. Laut Taylor liefen gegen diese Fehler kurz nach ihrer Veröffentlichung bereits Botnets, obwohl es damals noch keine LLMs gab.

Als Gründe für die aktuelle Aufregung nennt Taylor die Warnung eines PHP-Core-Teammitglieds, wonach Exploits 15 Minuten nach dem Patch erscheinen könnten. Hinzu kamen das verbreitete Misstrauen gegenüber der Sicherheit von PHP und ein Exploit-Video mit einer Anime-Figur. Viele hätten außerdem erwartet, dass LLMs Angriffe beschleunigen, möglicherweise nachdem bis zu 100.000 Menschen solche Systeme mit der Analyse beauftragt hatten. Taylors Fazit lautet, dass dies zum Veröffentlichungszeitpunkt kein leicht ausnutzbarer Vorfall von der Größenordnung Log4j war.