Jetzt wird es ernst: Erste richtige PHP2Shell-Angriffe beobachtet

Für alle Betreiber von Webservern, die die jüngsten PHP-Patches noch nicht eingespielt haben, wird es jetzt ernst: Sicherheitsforscher haben die ersten richtig gefährlichen Angriffe über die zugrunde liegenden Schwachstellen beobachtet. Für alle Betreiber von Webservern, die die jüngsten PHP-Patches noch nicht eingespielt haben, wird es jetzt ernst: Sicherheitsforscher haben die ersten richtig gefährlichen Angriffe über die zugrunde liegenden Schwachstellen beobachtet.

Angreifer starten Shells

Angreifer haben die kritischen Sicherheitslücken mit der Bezeichnung PHP2Shell erstmals nachweislich ausgenutzt, um Shell-Befehle auf verwundbaren Servern auszuführen. Ein Sicherheitsforscher registrierte am Wochenende insgesamt 35 gestartete Shell-Prozesse auf drei eigens präparierten Honeypot-Systemen. Die Beobachtungen gelten als bislang aussagekräftigster Beleg dafür, dass die Schwachstellen tatsächlich für erfolgreiche Angriffe eingesetzt werden.

Die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführten Fehler ermöglichen die Ausführung beliebigen Codes aus der Ferne, ohne dass sich Angreifer zuvor anmelden müssen. Das PHP-Team hat am 21. Oktober Sicherheitsupdates veröffentlicht, nachdem bereits Informationen zu den Schwachstellen öffentlich geworden waren. Erste Angriffsversuche hatte es allerdings schon vor der Bereitstellung der Patches gegeben.


Seitdem wurden Millionen entsprechender Aktivitäten registriert, ohne dass Sicherheitsforscher allerdings eine erfolgreiche Codeausführung bestätigen konnten. Das bedeutet, dass die jeweiligen Angreifer in erster Linie noch ihre neu entwickelten Exploits testeten, bevor diesen auch echte Schadroutinen mit auf den Weg gegeben wurden.

Das änderte sich nach Angaben von Adel Karimi, einem Forscher des KI-Unternehmens Perplexity. Er betreibt Honeypots, die gewöhnliche, auf PHP basierende Webseiten simulieren und Angreifer anlocken sollen. Die Systeme liefen mit PHP 8.4.26 und Apache mod_php. Bei einer ersten Auswertung über einen Zeitraum von etwas mehr als 26 Stunden hatte Karimi zwar 30 Speicherfehler und elf Abstürze von Worker-Prozessen festgestellt, aber noch keine erfolgreiche Ausführung von Shell-Befehlen.

Bekannte Muster

Am 24. Oktober registrierten seine Systeme dann insgesamt 35 gestartete Shells auf drei Honeypots. Eine IP-Adresse löste drei Shell-Prozesse auf einem einzelnen System aus. Eine weitere war für 32 Prozesse verantwortlich, die sich auf alle drei Systeme verteilten.

Die Angreifer nutzten eine Abfolge aus vier HTTP-Anfragen. Einige davon brachten PHP dazu, seinen verfügbaren Speicher aufzubrauchen, während andere Speicherinhalte offenlegten. Die abschließende Anfrage führte schließlich einen Shell-Befehl aus. Der Netzwerkverkehr ähnelte stark einem öffentlich verfügbaren Proof-of-Concept-Exploit.

Ein nachgeladener Schadcode wurde bei den beobachteten Angriffen aber auch noch nicht festgestellt. Karimi betonte zudem, dass seine Ergebnisse nicht ohne Weiteres auf andere PHP-Versionen, Anwendungen oder Serverkonfigurationen übertragbar seien. Die Tests hätten unter besonders günstigen Bedingungen mit nur einem Worker stattgefunden. Trotzdem müssen Serverbetreiber, die ihre Systeme noch nicht aktualisiert haben, jetzt wirklich damit rechnen, dass Attacken ernsthafte Folgen haben.

Siehe auch: