Webserver und -anwendungen erleben eine Welle intensiver Angriffe, die auf schwerwiegende PHP2Shell-Schwachstellen abzielen. Cybersicherheitsunternehmen betonen dabei, dass der Prozentsatz erfolgreicher Kompromittierungen trotz des enormen Volumens der Angriffsversuche äußerst gering bleibt.
In dieser Kampagne stachen die Firewalls von Palo Alto Networks hervor, da es einer mit China verbundenen Hackergruppe gelang, einige davon zu infiltrieren. Dies geschah durch die Kombination von PHP2Shell-Exploits mit der bekannten Linux-Kernel-Privilegien-Eskalationsschwachstelle namens Fragnesia, um Schadsoftware mit Root-Rechten zu verbreiten.
Details zum Angriff auf Palo Alto-Geräte
Palo Alto Networks bestätigte die von Sicherheitsbehörden veröffentlichten Ergebnisse und erklärte, dass Angreifer mithilfe von KI-Werkzeugen die beiden Schwachstellen (CVE-2026-109618) und (CVE-2026-109619) in PAN-OS-Geräten ausnutzten, deren Verwaltungsschnitstellen im Internet exponiert waren. Das Unternehmen hat dringende Software-Updates veröffentlicht, um den Fehler in den betroffenen Versionen der PA-Series- und VM-Series-Firewalls sowie der Panorama-Systeme zu beheben.
Das Unternehmen stellte klar, dass die Standard-Verwaltungsschnittstelle von Natur aus nicht im Internet exponiert ist. Es wies darauf hin, dass nur ein sehr geringer Prozentsatz von schätzungsweise 0,02 % seiner weltweiten Kundenbasis von diesen exponierten Schnittstellen betroffen war, und die betroffenen Kunden wurden direkt kontaktiert, um die erforderlichen Patches einzuspielen.
Weitreichende Auswirkungen auf PHP-Server und Fehlschlag bei WordPress
Telemetriedaten des Unternehmens zeigten, dass aufgrund der weit verbreiteten Nutzung der Sprache in Content-Management-Systemen wie WordPress, Drupal und Joomla mehr als 22,6 Millionen PHP-Installationen potenziell gefährdet sind.
Trotz tausender aufgezeichneter Scan-Anfragen und Angriffe auf Plattformen wie WordPress bestätigte das Cybersicherheitsunternehmen Defiant, dass bis dato kein einziger erfolgreicher Kompromittierungsfall von WordPress-Websites verzeichnet wurde. Dies wird auf die ständige Notwendigkeit zurückgeführt, Exploits anzupassen, damit sie mit den Zielserverumgebungen, Speicherkonfigurationen und PHP-Versionen kompatibel sind.
Was ist für Systemadministratoren wichtig?
Diese Kampagne verdeutlicht, dass aktuelle Cyberangriffe zunehmend auf die Verkettung mehrerer Schwachstellen (Chaining) setzen, um vollständige Privilegien in sensiblen Infrastrukturen zu erlangen. Während sich die meisten von Unternehmen wie Cato Networks dokumentierten Ausnutzungsversuche auf Remotecodeausführung (RCE) konzentrierten und verschiedene Sektoren wie das Gesundheitswesen und die Technologie ins Visier nahmen, unterstreicht die geringe Zahl erfolgreicher Angriffe die Bedeutung sofortiger Aktualisierungen und der Einschränkung des direkten Zugriffs auf Verwaltungsschnittstellen über das Internet.