OpenAI teilte am 21. in einem Beitrag mit, im Rahmen des Programms „Patch the Planet“ Sicherheitsforschern dabei geholfen zu haben, zwei schwerwiegende Schwachstellen in der Programmiersprache PHP aufzudecken, und gemeinsam mit dem Wartungsteam, Sicherheitsfirmen, Cloud-Anbietern und Cybersicherheitsbehörden mehrerer Länder rund zwei Monate vor der öffentlichen Bekanntgabe eine koordinierte Behebung abgeschlossen zu haben.
Die beiden Schwachstellen werden zusammenfassend als „PHP2Shell“ bezeichnet und tragen die Nummern CVE-2026-109618 und 109619; beide erreichen jeweils 9.2 Punkte nach CVSS v4.0. Das Sicherheitsunternehmen Calif entdeckte mit OpenAIs Modell GPT-5.6 Sol eine der kritischen Schwachstellen, während Wiz, ein Google-Unternehmen, sie unabhängig meldete; die offiziellen PHP-Maintainer leiteten Verifikation, Behebung und Veröffentlichung, während OpenAI, Wiz, Cloudflare und andere Forschung, technische Unterstützung und institutionsübergreifende Koordination beisteuerten. OpenAI nannte dies ein Beispiel dafür, wie KI an der Front hochkritische Schwachstellen vor den Angreifern entdecken kann und so den Verteidigern ein „Verteidigerfenster“ verschafft – doch dieselben Fähigkeiten könnten auch von Angreifern schneller ausgenutzt werden.
70 Prozent der Websites betroffen, Patches bereits veröffentlicht
PHP ist eine Open-Source-Skriptsprache, die eine gewaltige Zahl von Websites unterstützt; Schätzungen der Branche zufolge sind etwa 70 Prozent der Websites auf sie angewiesen. Die Schwachstelle ermöglicht es unautorisierten Angreifern, Code aus der Ferne auszuführen, Inhalte zu manipulieren, Daten zu stehlen oder gar Server zu übernehmen. Die PHP Foundation hat am 21. bereits ein Notfall-Update veröffentlicht; die behobenen Versionen umfassen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Um Administratoren bei der Prüfung zu helfen, hat OpenAI ein PHP-Versionsprüfungs-Tool online gestellt; zudem kündigte das Unternehmen an, 1 Milliarde US-Dollar über „Daybreak for Frontline Defenders“ bereitzustellen, um Organisationen mit begrenzten Ressourcen, die kritische Dienste betreiben, KI-Sicherheitsfähigkeiten zu ermöglichen. Diese von KI geschnürte globale Abwehr zieht die Reaktion auf Schwachstellen in einen neuen Rhythmus: „Den Angreifern einen Schritt voraus sein.“