PHP ist die serverseitige Sprache hinter einem Großteil des Webs. WordPress, Drupal, Joomla und MediaWiki, die Software hinter Wikipedia, laufen darauf. Laut W3Techs nutzen 69,3 Prozent aller Websites mit bekannter Serversprache PHP (Stand 22. Oktober 2026). Das deckt sich mit den rund 70 Prozent, die Wiz nennt. Sie beschreibt die Verbreitung von PHP, nicht die Zahl verwundbarer Systeme.
Die Forscher Sagi Tzadik, Shir Tamari, Nir Ohfeld und Tomer Schwartz haben mehrere Speicherfehler im PHP-Kern gefunden. Sie entstehen an derselben Stelle: wenn PHP einen Request wegen eines schweren Fehlers abbricht, meist bei Speichermangel (Out of Memory). Der Kern räumt dann nicht vollständig auf. Ein Zeiger auf bereits freigegebenen Speicher bleibt bestehen, und der nächste Request im selben Worker greift darauf zu.
Aus diesem Muster hat Wiz vier Angriffswege entwickelt. Sie reichen vom Auslesen fremder Speicherbereiche bis zur Codeausführung auf dem Server, jeweils ohne Anmeldung. Wiz sieht in PHP2Shell einen ähnlichen Wendepunkt wie Heartbleed (2014) und Log4Shell (2021). Wie bei Log4Shell liegt die größte Schwierigkeit in der Verbreitung: PHP steckt in Webservern, Container-Images, Appliances und Hosting-Plattformen, oft ohne dass es im Asset-Inventar auftaucht.
Unabhängig von Wiz hatten Calif und OpenAI die Grundursache bereits im August 2026 an das PHP-Team gemeldet. Laut Wiz gibt es über die vier gezeigten Wege hinaus weitere Varianten desselben Musters. Der Patch des PHP-Teams setzt an der Ursache an.
