Technische Berichte haben bestätigt, dass Angreifern die Ausnutzung kritischer Sicherheitslücken namens PHP2Shell (registriert unter den Kennungen CVE-2026-109618 und CVE-2026-109619) zur Remotecodeausführung (RCE) in realen Arbeitsumgebungen gelungen ist.
Diese Bestätigung folgte auf die Beobachtung bösartiger Aktivitäten durch Adel Karimi, Leiter der Erkennungs- und Reaktionsabteilung bei Perplexity, wobei Honeypots schlüssige Beweise für die Remotecodeausführung gegen eine Apache mod_php-Installation unter PHP 8.4.26 aufzeichneten. Karimi erklärte, dass der Angriff nicht auf die bloße Verursachung eines Systemabsturzes beschränkt war, sondern auch eine Speicherorchestrierung (Speicherfreigabe/Memory Disclosure) umfasste, die Angreifer in die Lage versetzte, Daten zu extrahieren und diese in nachfolgenden Ausführungslasten zu verwenden.
Entwicklung der Angriffe von der Erkundung zum Einbruch
Obwohl mehrere Cybersicherheitsunternehmen wie Cloudflare und Patchstack Ausnutzungsversuche dieser Schwachstellen vor deren Bekanntgabe beobachteten, wurden diese Versuche als nicht erfolgreich oder als reine Scan- und Fingerprinting-Vorgänge eingestuft. Die Entdeckung von Karimi, die auch von dem Bedrohungsforscher Marcus Hutchins von Expel bestätigt wurde, stellt jedoch einen gefährlichen Wandel von der Phase der Schwachstellenerkundung zur Phase des tatsächlichen und erfolgreichen Einbruchs dar.
Warum ist diese Nachricht von äußerster Gefahr?
Die Gefahr liegt in der weiten Verbreitung von PHP. Schätzungen von VirusTotal zufolge betreibt es etwa 70 % aller Websites im Internet, wobei über 5,1 Millionen mit dem Internet verbundene PHP-Hosts existieren. Dies bedeutet, dass jede Schwachstelle, die eine Remotecodeausführung in dieser Sprache ermöglicht, die Tür für groß angelegte Angriffe öffnet, die auf die globale digitale Infrastruktur abzielen könnten.
Warnung vor einer neuen Schwachstelle und Schutzmaßnahmen
Zeitgleich mit der Behebung der PHP2Shell-Schwachstellen warnte das PHP-Sicherheitsteam vor einer neuen RCE-Schwachstelle (CVE-2026-115560), für die derzeit kein Patch verfügbar ist und die auf Systeme mit untypischen Konfigurationen und Anwendungen abzielt. Zum Schutz von Systemen wird empfohlen, folgende Maßnahmen zu ergreifen:
- PHP sofort aktualisieren: Systemadministratoren müssen die vom PHP-Team am 21. Oktober veröffentlichten Sicherheitsupdates installieren, um die PHP2Shell-Schwachstellen zu beheben.
- Dringende präventive Maßnahme: Um der neuen Schwachstelle (CVE-2026-115560), für die es derzeit keinen Patch gibt, entgegenzuwirken, wird empfohlen, das Hochladen von Dateien über Sitzungen hinweg zu deaktivieren, indem die folgende Einstellung in der Konfigurationsdatei vorgenommen wird: session.upload_progress.enabled=0.