OpenAI Codex Skill checkt kritische PHP-Sicherheitslücke für dich

Eine riesige Sicherheitslücke in der Programmiersprache PHP sorgt für Aufruhr im Digitalraum. PHP ist die Basis zahlreicher Online-Dienste und Websites. Allein über das CMS WordPress werden nach Schätzungen von Expert:innen weltweit 400 bis 500 Millionen Seiten betrieben. Gleich zwei schwerwiegende Sicherheitsprobleme werden unter „PHP2Shell“ mit den Kennungen CVE-2026-109618 und CVE-2026-109619 angegeben. Sie gelten als besonders kritisch, erreichen dabei den Wert 3 von 4 (Orange) und könnten es arglistigen Angreifer:innen erlauben, Schad-Code zu integrieren oder Speicher auszulesen. Das Schadenspotential ist enorm.

Betroffen sind alle PHP-Versionen, die in den vergangenen Jahren herausgekommen sind. Auch PHP 5, das schon als veraltet gilt. Deshalb müssen Seitenbetreiber:innen, die PHP-basierte Seiten und Dienste nutzen, jetzt handeln. Auch wenn das PHP Team angibt, alle Fehler in den alten Versionen gefunden zu haben, ist eine Reaktion nötig.

Was du tun kannst, um beim PHP-Problem Schaden zu vermeiden

Auf der PHP Website steht seit Mittwoch eine aktualisierte Version von PHP zum Download bereit. Ein Update ist dringend notwendig und wer eine ältere Version nutzt, sollte idealerweise mindestens die Version PHP 8.3 übernehmen, da PHP 8.2 ab Ende 2026 nicht mehr unterstützt wird, wie Heise berichtet. Ein vollständiger Patch ist die Ideallösung, das PHP Team verweist dennoch auf Alternativen wie RCE (Remote Code Execcutions)-Anpassungen im Bereich OOM curruption und stale global state. Auch das Verschleiern des Vorhandenseins von PHP kann ganz kurzfristig helfen, ist aber nur eine Kompromisslösung. Solche Optionen bieten aber keinen so großen Schutz wie richtige System-Updates. Bereit stehen neben den Anpassungen für alte Versionen wie 7.4, 8.0 und 8.1 die neueren Versionen:

• 8.5.12
• 8.4.27
• 8.3.36
• 8.2.35

Das Bundesamt für Sicherheit in der Informationstechnik hat in einem Dokument alle Sicherheitshinweise mit Handlungsempfehlungen zusammengefasst. Auch beim Warn- und Informationsdienst von CERT-Bund! findest du aktuelle Informationen zur Bedrohung.

Thomas Caspers, Vizepräsident des BSI, sagte in den Tagesthemen:

Und mit diesen Sicherheitsaktualisierungen werden jetzt eben auch Angreifer in die Lage versetzt – einfach, weil sie die genau analysieren -, Webseiten erfolgreich anzugreifen, die nicht gepatcht worden sind.

Die meisten Seitenbetreiber:innen haben schon reagiert. Aber wenn du noch nicht gehandelt hast, kannst du jetzt mithilfe von OpenAIs Codex herausfinden, ob du betroffen bist. Das Team des KI-Unternehmens hat eigens einen Codex Skill veröffentlicht, der bei der Identifikation von Problemen im Rahmen der PHP-Sicherheitslücke hilft. Das entsprechende Repository liegt auf GitHub vor und kann via Codex genutzt werden.

If you are wondering whether your website is affected, we have packaged a Codex skill to help check. Point your Codex at this repo to guide you through it: https://t.co/XUEbOwXuQC

— OpenAI (@OpenAI) October 21, 2026

Wer unterdessen auf Notfalllösungen wie das Offline-Schalten von Servern oder teilweise Patches baut, sollte unbedingt darauf achten, einen 503 Status-Code (Service Unavailable) bereitzustellen. Darauf weist die Google Search Central auf LinkedIn noch einmal hin. Das stellt sicher, dass bereits indexierte Seiten auch während der Arbeit an Seiten oder am Server in der Suche verbleiben. Google rät davon ab, generische 404 oder 200 Error-Seiten einzusetzen. Mehr Informationen zu den Auswirkungen der Status-Codes findest du auf Googles Hilfeseite.

Auf Threads ansehen

Du solltest unverzüglich handeln, wenn du bisher noch kein umfassendes Update umgesetzt hast. Das gilt für jeglichen Einsatz von PHP, auch bei internen Projekten. Die konkreten Handlungsanweisungen findest du:

• auf der PHP Website
• beim BSI
• im ausführlichen Beitrag von Dr. Christoph Kunz für Heise Online

Auf Threads ansehen

---

Datenleck bei Meta Muse:

Tausende KI-Chats öffentlich auffindbar

---

Stelle OnlineMarketing.de als bevorzugte Quelle auf Google ein

Wenn du OnlineMarketing.de auf Google als bevorzugte Quelle einstellen möchtest, um auch in den Schlagzeilen auf Google immer aktuelle News und Tipps aus der Welt des Marketing und der Tech-Entwicklungen zu finden, kannst du einfach die Google-Quelleneinstellungen aufrufen und die Seite anwählen. Über das Stern-Icon neben den Top Stories kannst du ebenfalls bevorzugte Quellen für die spätere Suche speichern.