Forbes berichtete am 23. Oktober 2026, dass OpenAI-Forschende mit GPT-5.6 Sol über die Initiative Patch the Planet schwerwiegende Schwachstellen in PHP gefunden hätten. Das PHP-Projekt veröffentlichte am 21. Oktober PHP 8.5.12, das zwei kritische Sicherheitslücken behebt. Die offizielle Daybreak-Regelung von OpenAI beschreibt zugleich einen kontrollierten Zugang für autorisierte Cybersicherheitsarbeit.
Wie OpenAIs Arbeit mit dem PHP-Fall zusammenhängt
Forbes zufolge nutzten interne und externe Sicherheitsforschende GPT-5.6 Sol im Rahmen von Patch the Planet, um PHP-Schwachstellen aufzuspüren. OpenAI und seine Kooperationspartner hätten die Befunde und Korrekturen mehr als zwei Monate lang geprüft, bevor sie öffentlich wurden.
Forbes berichtete außerdem von 1.316 der insgesamt 1.995 ermittelten Fehler, für die in der damaligen Momentaufnahme noch ein Patch ausstand. Bei einer Prüfung von 130 eingesetzten, KI-verfassten Patches hätten 16 funktionale Probleme verursacht; bei einem Patch sei ein Leistungsproblem aufgetreten. Diese Angaben unterstreichen, warum das Finden eines Fehlers nicht mit seiner sicheren Behebung gleichzusetzen ist: Prüfung und Korrektur bleiben Teil der Arbeit.
Was Daybreak Blue und Red erlauben
OpenAI beschreibt Daybreak als Zugangsprogramm für autorisierte Cybersicherheitsarbeit an Systemen, die ein Team besitzt, betreibt oder ausdrücklich testen darf. Die Regeln untersagen die Nutzung für externe Kunden oder Arbeitsabläufe Dritter. Nutzungsrichtlinien und weitere Schutzmaßnahmen gelten weiterhin.
| Zugangsstufe | Modellzugriff | Voraussetzungen und Nutzung |
| Daybreak Blue | Weniger Ablehnungen bei unterstützten allgemeinen Modellen für verifizierte defensive Sicherheitsarbeit. Kein Zugriff auf spezialisierte Cybermodelle. | Zusätzliche Freigabe; Nutzung in autorisierten Umgebungen. |
| Daybreak Red | Zugriff auf ausgewählte Cybermodelle und weniger Ablehnungen bei bestimmten unterstützten Modellen. | Separate Freigabe und strengere Überprüfung; manche Modelle benötigen eine zusätzliche Genehmigung. |
Blue bedeutet also keinen uneingeschränkten Zugriff. Red ist für fortgeschrittene, autorisierte Sicherheitsarbeit vorgesehen und ebenfalls an Kontrollen gebunden. OpenAIs Daybreak-Regeln erläutern die Zugangsbedingungen im Einzelnen.
Welche PHP-Version die beiden Sicherheitslücken behebt
Das PHP-Projekt veröffentlichte am 21. Oktober 2026 PHP 8.5.12 als Sicherheitsversion. Sie behebt CVE-2026-109618 und CVE-2026-109619, zwei kritische Schwachstellen, die laut Projekt nicht authentifizierte Remotecodeausführung ermöglichen können. Das Projekt empfahl allen Nutzern von PHP 8.5 das Upgrade und bezeichnete es als einzige sichere Wahl. Die PHP-Mitteilung zu Version 8.5.12 nennt diese Version und die beiden CVEs.
NeoTeo hat die PHP-Fixes und die betroffenen Versionszweige bereits in einem früheren Artikel eingeordnet. Hier geht es zusätzlich um OpenAIs Sicherheitsprogramm und die von AWS gemeldete Aktivität vor der öffentlichen Bekanntgabe.
Was AWS vor der öffentlichen Bekanntgabe beobachtete
AWS Threat Intelligence datierte einen PHP2Shell-Ausnutzungsversuch in den MadPot-Telemetriedaten auf den 17. Oktober 2026. Die öffentliche Bekanntgabe der beiden CVEs erfolgte am 21. Oktober um 14 Uhr UTC. AWS konnte nicht feststellen, wie der Akteur vor der Bekanntgabe an Informationen über den Exploit gelangt war oder ob die beobachteten Versuche auf realen Systemen erfolgreich gewesen wären. Der AWS-Bericht zur Beobachtung hält diese Punkte ausdrücklich offen.
