OpenAI stellte am 21. Oktober 2026 einen Fünf-Stufen-Vorschlag für koordinierte Reaktionen auf kritische Softwarelücken vor. Im PHP-Fall führten die Maintainer laut OpenAI die Korrekturen und deren Veröffentlichung an. Das offizielle PHP-Archiv nennt die beiden Schwachstellen und die korrigierten Versionen. Die konkreten PHP-Versionen mit den Korrekturen hat NeoTeo bereits in einem früheren Beitrag eingeordnet.
Was die beiden PHP-Schwachstellen bewirken
PHP identifiziert CVE-2026-109618 als Fehler bei der Speicherverwaltung und CVE-2026-109619 als Problem mit veraltetem globalem Zustand. Beide können laut PHP nicht authentifizierte Remotecodeausführung ermöglichen. Das bedeutet, dass Angreifer ohne Anmeldung eigenen Code auf einem betroffenen Server ausführen könnten.
Bei CVE-2026-109618 kann ein Speichermangel die Verarbeitung unterbrechen, während interne Anfragedaten nur teilweise initialisiert sind. Bei der anschließenden Bereinigung kann PHP ungültige Daten wie gültige behandeln. CVE-2026-109619 betrifft einen anderen Ablauf: Ein interner Zustand kann nach dem Freigeben des zugehörigen Speichers bestehen bleiben. Eine spätere Anfrage desselben Workers kann diesen veralteten Zustand nutzen, bevor die normale Initialisierung ihn zurücksetzt.
PHP stuft Installationen, die Webanfragen verarbeiten, als potenziell gefährdet ein. Dazu gehören PHP-FPM, Apache mit mod_php, php-cgi, FrankenPHP und LiteSpeed. Unter den genannten Konfigurationen bewertet PHP mod_php als am stärksten gefährdet.
Welche PHP-Versionen die Fehler beheben
PHP führt diese Versionen als Korrekturen für beide CVEs auf:
| PHP-Zweig | Korrigierte Version |
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1 und ältere Zweige erhalten keine Updates mehr direkt vom PHP-Projekt. Das PHP-Sicherheitsteam stellte minimale Quellcode-Backports für PHP 7.4, 8.0 und 8.1 bereit; einzelne Distributionen und LTS-Anbieter können ebenfalls eigene Backports anbieten. Für ältere Installationen verweist PHP auf den jeweiligen Anbieter.
Vorläufige Maßnahmen können laut PHP die Angriffsfläche einzelner Wege verringern, machen eine Installation aber nicht sicher. Nur ein Update auf eine korrigierte Version ist eine vollständige Lösung.
OpenAIs fünf vorgeschlagene Schritte
OpenAI veröffentlichte den Rahmen als Vorschlag für kritische Schwachstellen in weit verbreiteter Software und lud die Sicherheitsgemeinschaft ein, ihn weiterzuentwickeln. Die fünf Schritte lauten:
- Fehler im Ursprungsprojekt prüfen und beheben. Maintainer, Forschende und technische Partner bestätigen den Fund, bewerten seine Auswirkungen und entwickeln sowie testen eine Korrektur. Dazu gehören auch Tests, die nach Wegen suchen, den Patch zu umgehen oder verwandte Fehler aufzudecken.
- Betroffenen Organisationen Vorbereitungszeit geben. Maintainer entscheiden, wen sie vor der Veröffentlichung einbeziehen. Dabei sollen die Schutzaufgabe, der Umgang mit vertraulichen Informationen und die benötigte Reaktionszeit zählen.
- Mit staatlichen Partnern kritische Systeme schützen. Für den PHP-Fall nannte OpenAI die US-Behörden CISA und Office of the National Cyber Director (ONCD), die White House Superintelligence Force sowie internationale Partner.
- Updates für betroffene Produkte vorbereiten. Maintainer, Distributoren, Hosting- und Sicherheitsanbieter sollen Aktualisierungen und Schutzmaßnahmen für die betroffenen Produkte und Dienste vorbereiten.
- Empfehlungen veröffentlichen und die Umsetzung unterstützen. Sobald ein Patch bereitsteht, sollen öffentliche Hinweise Betroffenen helfen, die Korrektur umzusetzen und festzustellen, wo sie weitere Unterstützung brauchen.
OpenAI zufolge soll der Zeitplan neu bewertet werden, wenn eine Schwachstelle aktiv ausgenutzt wird, Informationen darüber durchsickern, ein öffentlicher Patch den Fehler offenlegt oder Verzögerungen das Risiko für Nutzer erhöhen.
Wem OpenAI die Entdeckung zuschreibt
OpenAI schrieb Calif die Identifizierung einer der beiden Schwachstellen mithilfe von GPT-5.6 Sol zu. Außerdem erklärte das Unternehmen, Wiz habe beide Fehler unabhängig entdeckt und gemeldet. OpenAI zufolge unterstützten unter anderem Wiz und Cloudflare die Reaktion mit Forschung, technischer Hilfe und Koordination. Die Maintainer des PHP-Projekts leiteten die Korrekturen und deren Veröffentlichung.
OpenAI bezifferte seine Zusage für vergünstigten Daybreak-Zugang auf eine Milliarde US-Dollar. Das Programm Daybreak for Frontline Defenders richtet sich laut OpenAI an Organisationen, die essenzielle Dienste schützen und über begrenzte Sicherheitsressourcen verfügen.
