Die bestätigte Ausnutzung von PHP2Shell hat laut neu veröffentlichten Honeypot-Beweisen inzwischen bei tatsächlichen Angriffen zur Ausführung von Code aus der Ferne geführt. Die Erkenntnisse markieren einen Übergang von früheren Scans und gescheiterten Versuchen zu einem erfolgreichen Angriff.
Die beiden Schwachstellen mit den Kennungen CVE-2026-109618 und CVE-2026-109619 erhielten am 21. Oktober Notfall-Patches. Forscher haben jedoch inzwischen einen erfolgreichen Angriff auf eine Apache-mod_php-Installation mit PHP 8.4.26 dokumentiert.
Honeypot-Beweise bestätigen die Ausnutzung von PHP2Shell
Adel Karimi, Leiter für Erkennung und Reaktion bei Perplexity, zeichnete die schädlichen Aktivitäten mithilfe eines Honeypot-Systems auf. Seine Analyse brachte ein erfolgreiches Speicherleck mit einer anschließenden Anfrage zur Codeausführung in Verbindung.
Der Server lieferte etwa 800 KiB dekodierte Cookie-Daten zurück. Laut Karimi nutzte der Angreifer anschließend Informationen aus dieser Antwort, um die Nutzlast für die Codeausführung zu erstellen.
Konkret tauchte eine aus den geleakten Daten berechnete Funktionsadresse in der späteren Anfrage auf. Dieser Zusammenhang lieferte stärkere Beweise als ein Serverabsturz oder ein unerwarteter Prozess allein.
Der aufgezeichnete Datenverkehr zeigte außerdem, dass der Client den Empfang der vollständigen Antwort bestätigte. Etwa 1,6 Millisekunden nach dem letzten aufgezeichneten Byte der Ausführungsanfrage wurde der Shell-Befehl ausgeführt.
Marcus Hutchins, Bedrohungsforscher bei Expel, überprüfte die Ergebnisse und bezeichnete sie als starke Bestätigung einer erfolgreichen Ausnutzung.
Frühere Angriffe konnten keine Kompromittierung nachweisen
Vor diesen Erkenntnissen hatten Sicherheitsunternehmen Versuche zur Ausnutzung von PHP2Shell beobachtet, ohne erfolgreiche Kompromittierungen bestätigen zu können.
Cloudflare, Hadrian, watchTowr, Previdian und Patchstack entdeckten schädliche Aktivitäten vor der öffentlichen Bekanntgabe. Allerdings stuften sie die beobachteten Versuche als erfolglos ein.
Unterdessen identifizierte Amazon Threat Intelligence Angriffe auf die Schwachstellen bereits vier Tage vor der Veröffentlichung der Notfall-Patches.
Das Bedrohungsforschungsteam von Dataminr hatte die Aktivitäten zuvor als Scanning, Fingerprinting und Versuche mit nicht funktionierenden Exploits beschrieben. Zu diesem Zeitpunkt hatten die Forscher keine bekannten Kompromittierungen festgestellt.
Die neuen Honeypot-Beweise ändern diese Einschätzung, da sie einen funktionierenden Angriff auf eine bestimmte Serverkonfiguration demonstrieren. Sie belegen jedoch nicht, wie viele Produktivsysteme die Angreifer möglicherweise kompromittiert haben.
Auf ein frühes Informationsleck folgten Notfall-Patches
Das PHP-Sicherheitsteam veröffentlichte am 21. Oktober Korrekturen für beide PHP2Shell-Schwachstellen. Einen Tag zuvor hatte es Administratoren aufgefordert, sich auf sofortige Updates vorzubereiten.
Details kursierten bereits im Internet, bevor die Patches verfügbar waren. Dazu gehörten Schwachstellenkennungen und Hinweise zu Schutzmaßnahmen, die einige Anbieter kritischer Infrastrukturen erhalten hatten.
Während dieses Zeitraums erschienen außerdem mehrere Proof-of-Concept-Exploits. Das PHP-Sicherheitsteam erklärte jedoch, dass diese frühen Beispiele nicht funktionierten.
Administratoren sollten daher zwischen den erfolglosen frühen Versuchen und der inzwischen bestätigten Ausnutzung unterscheiden. Die neuesten Beweise erhöhen die Dringlichkeit, die PHP2Shell-Sicherheitsupdates zu installieren.
Separate PHP-Schwachstelle erfordert eine vorübergehende Schutzmaßnahme
Neben PHP2Shell veröffentlichte das PHP-Sicherheitsteam am 23. Oktober Hinweise zu Schutzmaßnahmen für eine weitere Schwachstelle zur Remote-Codeausführung, CVE-2026-115560.
Dem Bericht zufolge war diese separate Schwachstelle am 26. Oktober noch nicht behoben. Ihre Ausnutzung erfordert eine ungewöhnliche Kombination aus Serverkonfiguration und Anwendungscode.
Bis eine Korrektur verfügbar ist, empfehlen die PHP-Entwickler Administratoren, die Fortschrittsanzeige für Datei-Uploads innerhalb von Sitzungen mit folgender Einstellung zu deaktivieren:
session.upload_progress.enabled=0
Das Team hatte diese Maßnahme bereits vor der Veröffentlichung der PHP2Shell-Patches empfohlen. Administratoren sollten jedoch die verfügbaren Sicherheitsupdates für die beiden ursprünglichen Schwachstellen installieren, anstatt sich ausschließlich auf vorübergehende Schutzmaßnahmen zu verlassen.
Die weite Verbreitung von PHP erhöht die Risiken
PHP bildet die Grundlage für einen erheblichen Anteil aller Websites. Dadurch sind Schwachstellen in der Programmiersprache für eine Vielzahl von Hosting-Umgebungen relevant.
Aktuelle Schätzungen von VirusTotal identifizierten mehr als 5,1 Millionen über das Internet erreichbare PHP-Hosts. Davon verfügten etwa 3,8 Millionen über mindestens einen offenen Port, der potenziell für Angreifer zugänglich war.
Diese Zahlen beschreiben die Exposition und keine bestätigten Schwachstellen oder Kompromittierungen. Dennoch zeigt die erfolgreiche Ausnutzung von PHP2Shell, warum Administratoren ihre Installationen zeitnah überprüfen und die verfügbaren Korrekturen installieren sollten.
0 Kommentare zu „Ausnutzung von PHP2Shell bei laufenden Angriffen bestätigt“