OpenAI berichtete im Rahmen seiner Initiative Patch the Planet über die Entdeckung und Behebung zweier kritischer PHP-Schwachstellen. Patches für die Fehler wurden am 21. Oktober 2026 veröffentlicht, nachdem das FBI gewarnt hatte, dass sie böswilligen Akteuren die ferngesteuerte Ausführung von Code im PHP-Kern ermöglichen und möglicherweise sensible Daten und Netzwerke kompromittieren könnten.
Die unter CVE-2026-109618 und CVE-2026-109619 erfassten Schwachstellen betreffen PHP, eine weitverbreitete Programmiersprache für Websites und Webanwendungen. OpenAI zufolge identifizierte Calif eine der Schwachstellen mithilfe des Modells GPT-5.6 Sol, während Spezialisten von Wiz beide unabhängig voneinander entdeckten.
Die PHP-Maintainer leiteten laut OpenAI die Arbeiten zur Behebung der Fehler, mit Beiträgen von OpenAI, Wiz und Cloudflare.
FBI und OpenAI drängen auf sofortige Updates
In einem Beitrag vom 21. Oktober forderte das FBI Organisationen auf, betroffene PHP-Installationen unverzüglich zu aktualisieren und sämtliche Einsatzorte von PHP zu erfassen. Dabei sollten internetexponierte Systeme und Produkte von Anbietern, die die Sprache bündeln, priorisiert werden. Falls ein sofortiges Update nicht möglich sei, empfahl die Behörde, das betroffene System vom Netz zu nehmen, bis es vollständig abgesichert werden könne.
Das FBI riet Organisationen außerdem, Webserver auf verdächtige Aktivitäten zu überwachen, darunter PHP-Prozesse, die unerwartet Kommando-Shells starten oder Dateien herunterladen. Organisationen, die Anzeichen einer Kompromittierung feststellen, sollten betroffene Systeme isolieren, Webserver- und PHP-Protokolle sichern und den Vorfall einem örtlichen FBI-Außenbüro oder über den Online-Meldedienst der Behörde melden.
Die Behörde verwies Organisationen für aktuelle Informationen auf die Ankündigung von PHP, den CERT-EU Security Advisory 2026-018 und den Katalog bekannter ausgenutzter Schwachstellen der U.S. Cybersecurity and Infrastructure Security Agency.
OpenAI erklärte, die Installation der Patches sollte für Organisationen, die PHP einsetzen, oberste Priorität haben. Zudem veröffentlichte das Unternehmen einen PHP-Versionsprüfer als Codex-Skill, um Administratoren dabei zu helfen, potenziell anfällige Versionen zu identifizieren und festzustellen, welche Updates sie benötigen.
Laut einem Beitrag von CZ wurden Details zu den Schwachstellen vorzeitig online geleakt, und eine Ausnutzung in realen Angriffen wurde nahezu unmittelbar nach der Veröffentlichung bestätigt. CZ zufolge könnten die Fehler Server gefährden, auf denen weit verbreitete Plattformen wie WordPress und Magento laufen. IT-Teams begannen, Regeln für Web Application Firewalls einzusetzen und Updates zu installieren, um Systeme zu schützen.
OpenAI skizziert koordiniertes Vorgehen
OpenAI bezeichnete den Fall wegen der Schwere der Schwachstellen und der weiten Verbreitung von PHP als einen der größten Sicherheitsvorfälle der jüngeren Zeit. Nach bestem Wissen des Unternehmens identifizierten fortgeschrittene KI-Modelle die Fehler vor böswilligen Akteuren, wodurch Entwickler und Sicherheitsanbieter vor der öffentlichen Offenlegung Zeit hatten, Patches und Gegenmaßnahmen vorzubereiten.
OpenAI warnte zudem, Angreifer könnten dieselben KI-Fähigkeiten nutzen, um Angriffswerkzeuge und Exploits rasch zu entwickeln.
Auf Grundlage der PHP-Reaktion schlug OpenAI einen fünfstufigen Ansatz für den Umgang mit kritischen Schwachstellen in weit verbreiteter Software vor. In der ersten Stufe kommen Maintainer, Forscher und technische Partner zusammen, um die Schwachstelle zu bestätigen, ihre Auswirkungen zu bewerten, eine Behebung zu entwickeln und diese gegen mögliche Umgehungen zu testen.
Die zweite Stufe sieht eine Vorabbenachrichtigung von Organisationen vor, die Zeit zur Vorbereitung benötigen. Dadurch können Distributoren Korrekturen für ältere Versionen anpassen und Dienstleister Schutzmaßnahmen testen. Die dritte Stufe koordiniert die Zusammenarbeit mit Regierungspartnern, die Leitlinien an Organisationen verteilen können, die für kritische Infrastruktur und wesentliche Dienste verantwortlich sind.
In der vierten Stufe werden Distributoren, Hosting-Anbieter, Dienstleister und Incident-Response-Teams in die Vorbereitung von Updates für anfällige Produkte eingebunden. Die letzte Stufe umfasst die Veröffentlichung von Update-Anweisungen, vorübergehenden Gegenmaßnahmen und Empfehlungen zur Systemüberprüfung sowie Unterstützung bei der Einführung.
OpenAI erklärte, die Zeitpläne für Reaktionen sollten angepasst werden, wenn es Hinweise auf aktive Ausnutzung gebe, ein Datenleck auftrete oder Verzögerungen bei der Bereitstellung einer Behebung die Risiken für Nutzer erhöhten.
Über Patch the Planet arbeitet OpenAI zudem mit staatlichen Cybersicherheitsbehörden zusammen und hilft bei der Koordinierung von Maßnahmen zum Schutz anfälliger Systeme. Separat kündigte das Unternehmen an, über das Programm Daybreak for Frontline Defenders 1 Milliarde US-Dollar an bezuschusstem Zugang zu Daybreak bereitzustellen. Das Programm richtet sich an Organisationen, die wesentliche Dienste schützen, jedoch über begrenzte Sicherheitsressourcen verfügen.
Quelle: HODL Press
