Laut Amazon begannen Versuche, PHP2Shell auszunutzen, vier Tage vor der Veröffentlichung der Sicherheitspatches

Amazon Threat Intelligence entdeckte am 17. Oktober Versuche, PHP2Shell auszunutzen, vier Tage bevor die Entwickler Sicherheitsupdates veröffentlichten. Forscher konnten jedoch bislang nicht feststellen, ob diese frühen Versuche tatsächlich Systeme in realen Umgebungen kompromittieren konnten.

Die beiden kritischen Schwachstellen CVE-2026-109618 und CVE-2026-109619 können die Ausführung von Code aus der Ferne auf anfälligen PHP-Installationen ermöglichen. Das PHP-Sicherheitsteam veröffentlichte am 21. Oktober entsprechende Korrekturen, nachdem es Administratoren aufgefordert hatte, sich auf dringende Updates vorzubereiten.

Amazon entdeckte Angriffe vor der öffentlichen Bekanntgabe

Amazon registrierte die frühesten Angriffsversuche über seine MadPot-Honeypot-Infrastruktur, während die Informationen über die Schwachstellen noch einer Veröffentlichungssperre unterlagen.

Nach Angaben des Unternehmens stammte die Aktivität von einer IP-Adresse, die mit einem kommerziellen Anonymisierungsnetzwerk verbunden war. Diese Kombination deutete darauf hin, dass ein Bedrohungsakteur verantwortlich war. Allerdings wissen die Ermittler nicht, wie der Akteur an die Informationen über die Schwachstellen gelangte.

Anschließend beobachtete Amazon, wie Angreifer innerhalb weniger Stunden nach der Offenlegung mehrere Proof-of-Concept-Exploits über VPN-Adressen einsetzten. Unterschiede bei den Angriffspayloads und den verwendeten Anonymisierungsdiensten deuteten darauf hin, dass mehrere Akteure beteiligt waren.

Dennoch betonte Amazon, dass die technische Analyse noch andauerte. Das Unternehmen konnte nicht bestätigen, ob diese Versuche gegen Systeme in realen Umgebungen erfolgreich gewesen wären.

Forscher bewerten Hinweise auf erfolgreiche Angriffe unterschiedlich

Amazon beschrieb die Schwachstellen als Ziel umfangreicher Ausnutzungsversuche in realen Umgebungen. Die Ergebnisse des Unternehmens lassen jedoch offen, wie viele Angriffe, falls überhaupt, tatsächlich zur Kompromittierung von Servern führten.

Unterdessen veröffentlichte das Threat Research and Cyber Engineering Team von Dataminr am 22. Oktober eine vorsichtigere Einschätzung. Die Forscher berichteten von Scans, der Identifizierung von Systemen und nicht funktionierenden Exploits, jedoch von keinen bekannten Kompromittierungen.

Mehrere andere Sicherheitsunternehmen entdeckten ebenfalls erfolglose Versuche vor der öffentlichen Bekanntgabe.

Diese Erkenntnisse unterscheiden zwischen Angriffsversuchen und bestätigten Eindringversuchen. Obwohl die Versuche, PHP2Shell auszunutzen, bereits vor der Veröffentlichung der Sicherheitspatches begannen, belegen die verfügbaren Berichte keine erfolgreichen frühen Kompromittierungen.

Durchgesickerte Informationen störten den Zeitplan für Sicherheitsupdates

Das PHP-Sicherheitsteam erklärte, dass durchgesickerte Informationen es dazu zwangen, den koordinierten Veröffentlichungsprozess zu beschleunigen.

Zwei Tage vor der offiziellen Bekanntgabe tauchten Details im Internet auf, darunter beide CVE-Kennungen und Empfehlungen zur Risikominderung, die mit einigen Betreibern kritischer Infrastrukturen geteilt worden waren. Infolgedessen begann das Team am 20. Oktober, seinen Veröffentlichungszeitplan anzupassen.

Auch Proof-of-Concept-Code erschien bereits vor den Sicherheitspatches. Das PHP-Team erklärte jedoch, dass keines dieser öffentlich verfügbaren Beispiele funktionierte.

Das Datenleck erschwerte die Reaktion, da Informationen bekannt wurden, während Administratoren noch auf offizielle Korrekturen warteten.

Administratoren werden zur Installation offizieller PHP-Updates aufgefordert

Die PHP-Kernentwicklerin Gina Peter Banyard warnte, dass offizielle Sicherheitspatches den einzigen dauerhaften Schutz vor den Schwachstellen bieten.

Ebenso forderte das britische National Cyber Security Centre Organisationen auf, betroffene PHP-Server unverzüglich zu aktualisieren. Organisationen, die keine Patches installieren können, sollten diese Server vom Netz nehmen, bis sie sie absichern können.

Amazon warnte Sicherheitsverantwortliche außerdem davor, das Datum der öffentlichen Bekanntgabe als den frühestmöglichen Zeitpunkt eines Angriffs zu betrachten. Daher sollten Untersuchungen auch verdächtige Aktivitäten berücksichtigen, die vor der Veröffentlichung der Schwachstellen stattfanden.

Millionen exponierter Hosts verdeutlichen die potenzielle Reichweite

PHP kommt auf einem erheblichen Teil des Internets zum Einsatz, darunter auf Websites, die WordPress, Drupal und Joomla verwenden.

VirusTotal erfasst mehr als 5,1 Millionen über das Internet erreichbare PHP-Hosts. Davon haben rund 3,8 Millionen mindestens einen Port geöffnet, der potenziellen Angriffen ausgesetzt ist.

Die bloße Erreichbarkeit beweist jedoch weder, dass ein System anfällig ist, noch, dass es kompromittiert wurde. Diese Zahlen verdeutlichen das potenzielle Ausmaß der erforderlichen Sicherheitsmaßnahmen und nicht die Anzahl der Systeme, in die Angreifer tatsächlich erfolgreich eingedrungen sind.