Cybersicherheitsforscher der Sicherheits-Intelligence-Abteilung von Amazon (Amazon Threat Intelligence) haben bestätigt, dass Angreifer damit begonnen haben, die gefährlichen PHP2Shell-Schwachstellen volle vier Tage vor der offiziellen Veröffentlichung der Sicherheitspatches ins Visier zu nehmen.
Die beiden kritischen Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und ermöglichen es Angreifern, Remote Code Execution (RCE) auf betroffenen Systemen auszuführen. Das PHP-Entwicklungsteam veröffentlichte die notwendigen Patches am 21. Oktober, nachdem es einen Tag zuvor Systemadministratoren dazu aufgerufen hatte, sich auf die Installation der Updates unmittelbar nach deren Verfügbarkeit vorzubereiten.
Offenlegung von Schwachstellendetails und Beschleunigung des Zeitplans
Das PHP-Team erklärte, dass sich die Ereignisse entgegen dem ursprünglichen Plan zwei Tage vor der vollständigen Offenlegung beschleunigten, nachdem technische Details zu den PHP2Shell-Schwachstellen im Internet durchgesickert waren. Diese enthielten CVE-Kennungen und Empfehlungen zur Schadensbegrenzung, die an einige Anbieter kritischer Infrastrukturen gerichtet waren. Obwohl einige Proof-of-Concept-Exploits (PoC) vor der Veröffentlichung der Updates verbreitet wurden, wies das PHP-Team darauf hin, dass diese zu diesem Zeitpunkt keine tatsächliche funktionale Fähigkeit zum Eindringen besaßen.
Beobachtung von Angriffen in der Praxis
Der Bericht von Amazon folgte auf Beobachtungen mehrerer Sicherheitsunternehmen, darunter Cloudflare, watchTowr, Previdian, Hadrian und Patchstack, die fehlgeschlagene Ausnutzungsversuche vor der öffentlichen Bekanntgabe feststellten. Laut Aussagen von CJ Moses, Chief Information Security Officer bei Amazon Web Services (AWS), begannen die ersten Versuche am Samstag, dem 17. Oktober, von IP-Adressen aus, die zu einem kommerziellen Anonymisierungsnetzwerk gehörten.
Moses fügte hinzu, dass die tatsächlichen Payloads und die zur Verschleierung der Identität genutzten Infrastrukturen variierten, was auf die Beteiligung mehrerer Angreifer hindeutet. Er warnte Verteidiger davor, sich auf das Datum der öffentlichen Offenlegung als frühesten Zeitpunkt für den Beginn der Angriffe zu verlassen, und bestätigte, dass die Schwachstellen derzeit in freier Wildbahn weit verbreitet ausgenutzt werden.
Was bedeutet das für Systeme und Websites?
PHP (Hypertext Preprocessor) dient als Open-Source-Programmiergrundlage, die etwa 80 % aller Websites im Internet betreibt, einschließlich bekannter Content-Management-Plattformen wie WordPress, Drupal und Joomla. Daten der Plattform VirusTotal deuten darauf hin, dass mehr als 5,1 Millionen PHP-Server über das Internet erreichbar sind, von denen etwa 3,8 Millionen mindestens einen Port offen haben, der für potenzielle Angriffe anfällig ist, was die potenziellen Auswirkungen extrem weitreichend macht.