Die US-Agentur für Cybersicherheit und Infrastrukturschutz (CISA) hat zwei kritische Sicherheitslücken in der Programmiersprache PHP, die kollektiv als PHP2Shell-Schwachstellen bekannt sind, in den Katalog der in tatsächlichen Angriffen ausgenutzten Schwachstellen aufgenommen.
Details zu den Schwachstellen und aktiven Angriffen
Die beiden Schwachstellen mit den Kennungen (CVE-2026-109618) und (CVE-2026-109619) ermöglichen es Angreifern ohne vorherige Berechtigungen, hochkomplexe Angriffe durchzuführen, die auf die Remote Code Execution (RCE) auf Systemen abzielen, die die erforderlichen Sicherheitsupdates nicht erhalten haben. Die PHP-Sicherheitsteams hatten die notwendigen Software-Updates zur Schließung der beiden Schwachstellen im Oktober veröffentlicht, nachdem mehrere Sicherheitsunternehmen vor der öffentlichen Bekanntgabe großflächige Ausnutzungsversuche beobachtet hatten.
Obwohl Details zu den Schwachstellen durchgesickert waren und einige Proof-of-Concept-Codes (PoC) vor der Veröffentlichung der offiziellen Patches im Internet veröffentlicht wurden, bestätigte das PHP-Sicherheitsteam, dass diese Versuche zu Beginn nicht effektiv waren. Dennoch dokumentierten mehrere Sicherheitsunternehmen, darunter Amazon und Cloudflare, Ausnutzungsversuche, die die Schwachstellen bereits wenige Tage vor der Veröffentlichung der offiziellen Updates angriffen.
Dringende Anweisungen für Regierungsbehörden
Infolge dieser Entwicklungen hat die CISA die Schwachstellen in den Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen und die zivilen Bundesbehörden (FCEB) verpflichtet, ihre Systeme abzusichern und die erforderlichen Patches gemäß der verbindlichen operativen Richtlinie (BOD 26-04) anzuwenden. Die Agentur warnte davor, dass diese Art von Schwachstellen einen häufigen Angriffsvektor darstellt, der Infrastrukturen und Bundesinstitutionen direkt bedroht.
Was bedeutet diese Entwicklung in der Praxis?
Diese Aktualisierungen sind aufgrund der weiten Verbreitung der Sprache PHP von entscheidender Bedeutung, da Schätzungen der Plattform VirusTotal zufolge PHP etwa 70 % aller Websites weltweit betreibt, wobei Millionen von Hosts gefährdet sind. Dieses proaktive Handeln der US-Agentur und die schnelle Reaktion der Incident-Response-Teams unterstreichen die Notwendigkeit für Technologieunternehmen, risikobasierte Schwachstellenmanagementpläne zu implementieren, um sofort auf kritische Schwachstellen reagieren zu können, deren Ausnutzung in der digitalen Wildnis bestätigt wurde.