Gestern gepatchte PHP-Lücken wurden schon vor Tagen attackiert

Die gestern veröffentlichten Patches für PHP waren dringend nötig. Denn bereits vor Tagen starteten Angriffe auf die zugrundeliegenden Schwachstellen. Das geht aus einer Analyse von Amazon Web Services (AWS) hervor.

Es geht immer schneller

Demnach registrierten die Sicherheitsexperten des Cloud-Betreibers erste Angriffsversuche bereits am 17. Oktober. Die Schwachstellen, die unter dem Sammelnamen PHP2Shell bekannt sind, wurden erst vier Tage später, am gestrigen Nachmittag, öffentlich gemacht. Zu diesem Zeitpunkt waren die Attacken offenbar bereits in vollem Gange.

Am Mittwoch veröffentlichte das PHP-Team Sicherheitsupdates für die beiden kritischen Schwachstellen. Administratoren und Sicherheitsexperten begannen daraufhin weltweit damit, betroffene Webseiten und Anwendungen zu überprüfen und die verfügbaren Korrekturen einzuspielen. Wo dies noch nicht geschehen ist, sollte dringend nachgearbeitet werden, um die bereits aktiven Angriffe abzuwehren.


AWS entdeckte die Aktivitäten vom 17. Oktober erst am Mittwoch bei der nachträglichen Auswertung eines Honeypots. Dabei handelt es sich um absichtlich verwundbare Server oder andere digitale Köder, mit denen Sicherheitsteams Angriffsmethoden und Aktivitäten von Cyberkriminellen untersuchen. Der damalige Zugriffsversuch stammte von einer IP-Adresse, die AWS einem kommerziellen Anonymisierungsdienst zuordnet, wie er etwa von Proxy-Netzwerken oder VPN-Anbietern genutzt wird.

CJ Moses, Chief Information Security Officer von AWS, hält es deshalb für wahrscheinlich, dass ein Angreifer hinter dem Versuch steckte. Wie dieser bereits vor der öffentlichen Bekanntgabe an Informationen über die Sicherheitslücken gelangte, ist allerdings unklar.

Ab Release ging es richtig los

Auch rund um die Veröffentlichung am Mittwoch registrierten die AWS-Forscher zahlreiche weitere Angriffsversuche. Diese kamen offenbar über unterschiedliche Anonymisierungsdienste und könnten verschiedenen Akteuren zuzuordnen sein. Erste öffentlich verfügbare Exploit-Beispiele tauchten dann bereits Stunden vor der offiziellen Bekanntgabe in einschlägigen Foren auf.

Laut AWS werden die PHP2Shell-Schwachstellen inzwischen großflächig angegriffen. Ob sämtliche beobachteten Versuche auf realen Systemen erfolgreich gewesen wären, ist dabei noch nicht geklärt. Das zeigt aber, dass Administratoren immer schneller reagieren müssen. Denn insbesondere durch die Verfügbarkeit von KI-Technologien können Kriminelle neue Patches sehr schnell analysieren und versuchen, die Schwachstellen noch auszunutzen, bevor Aktualisierungen in der Fläche angekommen sind.

Siehe auch: