Entwicklungen bei PHP2Shell-Angriffen
Nur zwei Tage nach der Veröffentlichung von Notfall-Updates zur Behebung der PHP2Shell-Schwachstellen (registriert unter den Kennungen CVE-2026-109618 und CVE-2026-109619) haben Cybersicherheitsunternehmen intensive Versuche von Bedrohungsakteuren beobachtet, diese Schwachstellen auszunutzen, um eine Variante des bekannten Botnets Mirai zu verbreiten. Trotz der Schwere der Schwachstellen, die eine Remote Code Execution (RCE) ermöglichen und einen CVSS v4.0-Wert von 9.2 erhalten haben, wurde bisher kein einziger erfolgreicher Einbruch in realen Umgebungen bestätigt.
Technische Herausforderungen für Angreifer
Analysen von Unternehmen wie Sophos und Hunt.io zeigen, dass Angreifer extreme Schwierigkeiten haben, diese Schwachstellen in funktionierende Exploits umzuwandeln. Sansec erklärte, dass die Schwachstellen eine präzise Kenntnis der Serverkonfigurationen und bestimmter Betriebsbedingungen erfordern, da die meisten öffentlich verfügbaren Tools bei Standard-PHP-Einstellungen versagen.
Andererseits ist es dem Unternehmen VulnCheck gelungen, einen Exploit zu entwickeln, der die ASLR-Technologie (Address Space Layout Randomization) in x86-64-Systemen umgeht, eine Speicherschutztechnologie, die zuvor ein Haupthindernis für Angreifer darstellte. Dennoch bleibt dieser Exploit nur den Kunden des Unternehmens zugänglich, was die Lücke zwischen öffentlich verfügbaren Tools und fortgeschrittenen Angriffskapazitäten widerspiegelt.
Was ändert sich in der Praxis?
- Exploit-Komplexität: Tools, die auf den Servern von Angreifern gefunden wurden (über SOCRadar), zeigten, dass Angreifer intensive Laborexperimente durchführen, aber daran scheitern, echte Server zu kompromittieren, die nicht mit ihren Testumgebungen übereinstimmen.
- Vorsichtsmaßnahmen: Die Befürchtungen bezüglich dieser Schwachstellen veranlassten zahlreiche Organisationen, darunter Regierungs- und Bildungseinrichtungen in Europa, ihre Systeme als vorbeugende Maßnahme während der Anwendung von Updates vorübergehend abzuschalten.
- Patch-Lücke: Daten von Qualys deckten eine große Herausforderung im Patch-Management auf, da Millionen von PHP-Kopien weiterhin auf sehr alten Versionen (End-of-Life) laufen, die keine Sicherheitsupdates mehr erhalten, was sie langfristig anfällig für Risiken macht.
Sicherheitskontext
Die Schwachstellen wurden im vergangenen August von Wiz, OpenAI und Calif entdeckt, und die Veröffentlichung der Updates (Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35) wurde am 21. Oktober nach der Offenlegung der CVE-Kennungen beschleunigt. Obwohl am 17. Oktober erste Ausnutzungsversuche von Amazon beobachtet wurden, hat sich die Angriffsaktivität bisher nicht in bestätigte Einbrüche umgesetzt, was Systemadministratoren eine entscheidende Chance bietet, die Updates anzuwenden, bevor Angreifer effizientere Tools entwickeln.