TL;DR: Das Wichtigste
- Die Überwachungs-Honeypots verzeichneten 35 erfolgreiche Ausführungen beliebiger Befehle auf Zielen, auf denen die PHP-Engine ohne Anwendungsfilter ausgeführt wurde.
- Mithilfe einer Abfolge von HTTP-Anfragen lässt sich der interne Speicher des Servers auslesen, um dessen Schutzmechanismen zu umgehen und eine Befehlszeile zu starten.
- Die US-Behörde CISA hat diese kritischen Schwachstellen in ihren Katalog bekannter Exploits aufgenommen und fordert innerhalb von drei Tagen Sofortmassnahmen.
- Angreifergruppen scannen das Internet aktiv in geringen Abständen, um Hunderte von Rechnern aufzuspüren, die noch immer ungeschützt und ohne Patch sind.
Die kritischen PHP2Shell-Sicherheitslücken ermöglichen es Angreifern nun, durch einfache HTTP-Anfragen, die ohne Passwort gesendet werden, die vollständige Kontrolle über nicht gepatchte Webserver zu erlangen. Diese operative Bestätigung stellt eine entscheidende Wende für alle vernetzten IT-Umgebungen dar.
Erfolgreiche Angriffe bestätigen die Realität der Bedrohung
Forscher im Bereich der Cybersicherheit betrachteten die internen Schwachstellen der PHP-Engine lange Zeit als theoretisch oder als zu komplex, um sie in grossem Massstab auszunutzen. Dieser trügerische Schutz verschwand am 24. Oktober 2026, als in Testumgebungen 35 tatsächliche Kompromittierungen verzeichnet wurden, die in einem auf GitHub veröffentlichten technischen Analysebericht dokumentiert sind. Die Verkehrsdaten zeigen, dass es den Angreifern gelang, Befehlsterminals direkt unter dem Apache-Serverprozess auszulösen.
Das Wichtigste zu Cybersicherheit, KI & Tech
Werden Sie Teil der Community. 3-mal pro Woche erhalten Sie die Trendanalyse von Marc Barbezat (auf Französisch). Kein Spam, nur Informationen.
Die US-Behörde für Cybersicherheit CISA reagierte umgehend und trug die Sicherheitslücken in ihr Register der ausgenutzten Schwachstellen ein, wie SecurityAffairs berichtet. Die Behörde setzte den öffentlichen Einrichtungen eine verbindliche Frist von drei Tagen, um ihre IT-Infrastrukturen abzusichern. Durch spezielle Überwachungsmassnahmen wurden Angreifer identifiziert, die systematisch mehr als zweihundert anfällige Server untersuchen, wobei sie ihre Abfragen über Zwischenserver leiten, um Blockierungen zu umgehen.
Der Mechanismus umgeht die Speicherverwaltung der Web-Engine
Der Angriff basiert auf dem Versand von Webanfragen, die darauf ausgelegt sind, den Server so zu überlasten, dass dessen Arbeitsspeicher überlastet wird. Bei dieser Überlastung gibt die Anwendung interne Elemente ihrer Struktur in einfache Cookies mit ungewöhnlicher Grösse preis. Dieses fehlerhafte Verhalten betrifft den Kern der PHP-Ausführungsengine selbst und tritt auf, bevor der Code der Websites ausgeführt wird.
Durch das Abrufen dieser gestohlenen technischen Daten berechnet das Angriffsprogramm die tatsächlichen Adressen des Betriebssystems und umgeht die zufällige Anordnung des Speichers. Wie Slashdot berichtet, ermöglichen die extrahierten Daten die Anpassung der Übertragung des endgültigen Befehls, sodass dieser funktionsfähig wird. Eine Schadsoftware benötigt somit keinerlei Zugangsdaten, um ihre Befehle auf der tiefsten Ebene des Systems auszuführen.
Wichtiger Hinweis
Diesmal haben die PHP2Shell-Sicherheitslücken an Dynamik gewonnen, da nun bestätigte Fälle einer erfolgreichen Ausnutzung vorliegen. Dies erhöht den Druck erneut, die verfügbaren Patches unbedingt zu installieren. Sollte dies bei derart veralteten Anwendungen und Diensten nicht möglich sein, so ist dies eine wichtige Mahnung, wie wichtig es ist, den technologischen Rückstand so weit wie möglich abzubauen – vor allem aber, diese nicht länger im Internet ungeschützt zu lassen, da dies die Systeme und ihre Daten gefährden könnte. Dies ist erst der Anfang des Wettlaufs.
Die Dringlichkeit, Anwendungen voneinander zu trennen und den technischen Rückstand abzubauen
Die Programmiersprache PHP wird auf fast 70 % der Webserver weltweit eingesetzt, wodurch potenziell Millionen von Plattformen diesen unbemerkten Angriffen ausgesetzt sind. Laut TechCrunch haben sich Unternehmen und Behörden dazu entschlossen, ihre Internetportale vorübergehend vom Netz zu nehmen, um die am 21. Oktober 2026 veröffentlichten Updates zu installieren. Die durch Modelle der künstlichen Intelligenz ermöglichte Automatisierung hat die Entwicklung von Angriffstools beschleunigt, die in der Lage sind, diese ehemals vernachlässigten Sicherheitslücken zu kombinieren.
Angesichts der zunehmenden Zahl böswilliger Scans ist die unverzügliche Installation sicherer Softwareversionen für alle IT-Teams unerlässlich. Wenn veraltete Infrastrukturen Updates nicht mehr ohne Betriebsunterbrechung unterstützen, ist die Aufrechterhaltung ihres direkten Zugriffs über das öffentliche Netz nicht mehr zu rechtfertigen. Die Einbindung in ein privates Netzwerk oder die vollständige Abschaltung dieser anfälligen Komponenten stellt die einzige Schutzmassnahme dar, um die Vertraulichkeit der Informationssysteme zu gewährleisten.
Die nun vor Ort bestätigten Ausnutzungsfälle beenden die Phase der rein theoretischen Anfälligkeit: Das Wettrennen zwischen der Bereitstellung von Patches und der Ausnutzung veralteter, an vorderster Front exponierter Architekturen hat definitiv begonnen.
Häufig gestellte Fragen zu PHP2Shell-Sicherheitslücken
Was ist die PHP2Shell-Sicherheitslücke?
Es handelt sich um eine Kombination aus zwei kritischen Sicherheitslücken in der Ausführungsumgebung der Programmiersprache PHP. Diese ermöglichen es Angreifern, aus der Ferne die Kontrolle über einen Webserver zu erlangen, indem sie böswillige Anfragen senden, ohne sich zuvor zu authentifizieren.
Wie umgehen Angreifer die Speichersicherheit?
Der Angriff sendet bestimmte Anfragen, die dazu führen, dass interne Informationen in Sitzungs-Cookies offengelegt werden. Die Angreifer nutzen diese Werte anschliessend, um die Speicheradressen des Systems zu ermitteln und Terminalbefehle auszuführen.
Welche Server sind von diesen Angriffen betroffen?
Alle Server, auf denen nicht gepatchte Versionen der PHP-Engine ausgeführt werden und die Webanfragen empfangen, sind gefährdet. Die Sicherheitslücke betrifft den Kern der Programmiersprache selbst und nicht eine bestimmte Anwendung oder einen bestimmten Content-Management-System.
Welche Massnahmen müssen Unternehmen unverzüglich ergreifen?
Systemadministratoren müssen die vom PHP-Projekt veröffentlichten Patches unverzüglich installieren. Bei älteren Anwendungen, die mit den Patches nicht kompatibel sind, muss deren direkter Zugang zum Internet unbedingt unterbunden und der technologische Rückstand abgebaut werden.
Weitere Informationen zu diesem Thema
PHP2Shell überschwemmt das Internet, und bereits drohen neue Sicherheitslücken
Am 21. Oktober 2026 veröffentlichte PHP dringende Patches gegen PHP2Shell. Millionen von Angriffen richten sich gegen Server, bei denen noch keine Kompromittierung bestätigt wurde. Weiterlesen
Hat Ihnen der Beitrag geholfen?
Ein Kaffee ist ein einfaches Dankeschön für das Monitoring. Ohne Abo, ohne Verpflichtung.
