OpenAI schlägt fünf Stufen für PHP-Schwachstellen vor

PHP ist eine serverseitige Programmiersprache für Websites und Webanwendungen. Am 21. Oktober 2026 veröffentlichte OpenAI während der Reaktion auf zwei kritische PHP-Schwachstellen einen Vorschlag für eine koordinierte Offenlegung in fünf Stufen. OpenAI zufolge fand Calif eine der Schwachstellen mit GPT-5.6 Sol; Wiz entdeckte beide unabhängig, und PHP-Maintainer führten die Korrekturen an. OpenAI bat Sicherheitsforscher, Maintainer und Betreiber um Rückmeldungen zu dem Vorschlag.

Was OpenAI mit den fünf Stufen vorschlägt

OpenAIs Ablauf beginnt mit der Prüfung und Behebung des Fehlers durch Maintainer, Forscher und technische Partner. Danach sollen betroffene Organisationen Zeit erhalten, Korrekturen vorzubereiten. Regierungsstellen können helfen, Hinweise an kritische Infrastrukturen und wichtige Dienste weiterzugeben. Anschließend sollen Anbieter nachgelagerter Produkte und Dienste Updates vorbereiten; öffentliche Anleitungen zur Erkennung und Behebung der Schwachstelle sollen erscheinen, sobald ein Patch bereitsteht.

Bei der Prüfung des Fehlers sieht OpenAI auch Tests mit fortgeschrittenen KI-Modellen vor, die nach Umgehungsmöglichkeiten und verwandten Schwachstellen suchen sollen. Für die Vorbereitung nennt der Vorschlag unter anderem Distributionen, Hosting-Anbieter und Sicherheitsdienste, die Patches anpassen, Schutzregeln testen oder Erkennung und Abwehr vorbereiten können.

Wann sich der Zeitplan ändern soll

Nach OpenAIs Vorschlag sollen Beteiligte Informationen nur dann erhalten, wenn sie diese für konkrete Schutzmaßnahmen benötigen. Zugleich soll das Team abwägen, ob der Nutzen der Weitergabe das Risiko überwiegt, dass Details missbraucht werden.

Eine Neubewertung der Fristen schlägt OpenAI vor, wenn Angriffe bereits laufen, Informationen durchsickern, ein öffentlicher Patch die Schwachstelle offenlegt oder eine verzögerte Behebung das Risiko für Nutzer erhöht. Wie lang ein Offenlegungsfenster sein sollte, wann gestufte Benachrichtigungen sinnvoll sind und welche Schutzvorkehrungen für Notfall-Patches nötig wären, stellt OpenAI zur Diskussion.

Welche PHP-Versionen die beiden Schwachstellen beheben

PHP beschreibt CVE-2026-109618 als Remotecodeausführung durch Speicherfehler bei erschöpftem Arbeitsspeicher. Wird die Verarbeitung unterbrochen, während interne Anfragedaten noch unvollständig eingerichtet sind, kann die anschließende Bereinigung ungültige Daten als gültig behandeln. CVE-2026-109619 betrifft veralteten globalen Zustand: Daten einer Anfrage können nach Freigabe des zugehörigen Speichers bestehen bleiben und von einer späteren Anfrage desselben Workers genutzt werden.

PHP bewertet beide Schwachstellen mit 9,2 nach CVSS v4.0. Die Sicherheitsversionen hängen vom verwendeten PHP-Zweig ab:

Die PHP-Sicherheitsmitteilung nennt diese Versionen als vollständige Korrektur. Zur Einordnung der früheren Meldung über die Fehlerbehebungen: NeoTeos Bericht zu den PHP-Sicherheitsupdates.

Was vor einem Update hilft und was nicht

PHP nennt für CVE-2026-109618 memory_limit=-1 sowie Begrenzungen für POST- und Anfragegrößen. Container- oder cgroup-Grenzen können zusätzlich als Schutz für die Verfügbarkeit dienen. Für CVE-2026-109619 empfiehlt PHP, session.upload_progress.enabled vor der Verarbeitung von Anfragen zu deaktivieren und alle Worker neu zu starten. Bei PHP 8.5 blockiert fatal_error_backtraces=0 den bestätigten Angriffspfad über Backtraces bei fatalen Fehlern.

Diese Maßnahmen begrenzen laut PHP einzelne Angriffspfade, machen eine Installation aber nicht sicher. Nur ein Update auf eine korrigierte Version behebt beide Schwachstellen vollständig.

Für PHP 8.1 und ältere Zweige gibt das PHP-Projekt keine regulären Updates mehr heraus. Das PHP-Sicherheitsteam stellte dennoch minimale Quellcode-Backports für PHP 7.4, 8.0 und 8.1 bereit; auch einige Linux-Distributionen und Anbieter mit Langzeitunterstützung liefern zurückportierte Korrekturen. Bei solchen Paketen sollten Betreiber den jeweiligen Anbieterstand prüfen.