Details zu den präventiven Angriffen
Berichte des Threat-Intelligence-Teams von Amazon (Amazon Threat Intelligence) bestätigen, dass Bedrohungsakteure versucht haben, kritische Sicherheitslücken in der Programmiersprache PHP Tage vor der Veröffentlichung der offiziellen Updates auszunutzen. Die Überwachungssysteme von Amazon registrierten am 17. Oktober Versuche, eine als PHP2Shell bekannte Schwachstelle auszunutzen, noch vor der offiziellen Ankündigung des Patches.
Die entdeckten Schwachstellen betreffen die Kennungen CVE-2026-109618 und CVE-2026-109619, die es Angreifern ermöglichen, bösartigen Programmcode remote auf betroffenen Systemen auszuführen. Obwohl Elizabeth Barron, Geschäftsführerin der PHP Foundation, bestätigte, dass es bisher keine Beweise für eine erfolgreiche Remote-Code-Ausführung gibt, betonte sie die Notwendigkeit, die Systeme umgehend zu aktualisieren.
Warum verzögerte sich der Patch?
Die PHP Foundation erklärte, dass die Schwachstellen theoretisch seit 2024 bekannt waren, die Behebung dieser Mängel jedoch auf komplexe technische Herausforderungen stieß. Dazu gehörten die Wahrung der Abwärtskompatibilität (Backward Compatibility), die Vermeidung von Denial-of-Service-Angriffen sowie die Schwierigkeit der Koordination mit Entwicklern externer Erweiterungen. Mit dem Näherrücken des Veröffentlichungstermins für die Lösung begannen Details zu den Schwachstellen über Foren und soziale Medien durchzusickern, was Angreifern die Möglichkeit gab, diese vor Verfügbarkeit des Schutzes auszunutzen.
Was ändert sich in der Praxis?
Die PHP Foundation räumte ein Defizit im Sicherheitskrisenmanagement ein und versprach, ihre internen Prozesse zu ändern, um sicherzustellen, dass kritische Schwachstellen, die komplexe Lösungen erfordern, die Führungsebene schneller erreichen. Ziel ist es, die Entscheidungsfindung zu beschleunigen und schwierige technische Kompromisse zu überwinden, die die rechtzeitige Veröffentlichung von Updates behindern könnten.
Dieser Vorfall ist eine deutliche Erinnerung an die Risiken von Informationslecks vor einer verantwortungsvollen Offenlegung. Der Amazon-Bericht wies darauf hin, dass die Angreifer die Schwachstelle möglicherweise bereits vor Beginn der öffentlichen Leaks identifiziert hatten, was darauf hindeutet, dass es Akteure gibt, die Änderungen in Quellcode-Repositories genau beobachten oder Embargo-Zeiträume nutzen, um nach nicht angekündigten Schwachstellen zu suchen.