PHP2Shell beschäftigt die IT-Welt: zwei kritische Lücken in PHP selbst, mit mehr als 22 Millionen potenziell verwundbaren Servern. Inzwischen wurde Missbrauch beobachtet, unter anderem ein Angriff auf eine europäische Behörde, bei dem der Angreifer in zwei Stunden von einer Webshell bis ins Active Directory gelangte.
PHP2Shell: Zwei kritische RCE-Lücken in PHP werden aktiv ausgenutzt, auch KI-gestützte Angreifer sind aktiv
| Schwachstelle | Zwei Speicherfehler im Kern von PHP (zusammen PHP2Shell genannt), über die ein nicht authentifizierter Angreifer aus der Ferne Code ausführen kann: ein Fehler bei der Behandlung von Speichermangel (Out-of-Memory) und ein Use-after-free durch zurückgebliebenen globalen Status zwischen Requests. Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed), das größte Risiko besteht bei mod_php |
| CVE-Nummer | CVE-2026-109618 und CVE-2026-109619 |
| CVSS-Score | 9,2 (CVSS 4.0) für beide Schwachstellen |
| Aktiv ausgenutzt | Ja. Amazon registrierte bereits am 17. Oktober 2026 einen Versuch, vier Tage vor der öffentlichen Bekanntgabe. Unit 42 meldete am 23. Oktober einen Angriff auf eine europäische Behörde |
| Patch verfügbar | Ja, seit 21. Oktober: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 7.4, 8.0 und 8.1 (End of Life) gibt es nur Quellcode-Backports; ältere Versionen erhalten keinen Fix |
Wie wurde die Lücke ausgenutzt?
Details zu den Lücken sickerten am 20. Oktober online durch, bevor die Patches fertig waren. Laut Help Net Security registrierte Amazon Threat Intelligence mit dem Honeypot-Netzwerk MadPot bereits am 17. Oktober einen Exploit-Versuch von einer IP-Adresse eines kommerziellen Anonymisierungsdienstes. Eine einzige nicht authentifizierte Anfrage genügt, und der Angriff funktioniert, bevor Anwendungscode ausgeführt wird. Laut der verfügbaren Analyse von Rapid7 funktionieren die öffentlichen Proofs of Concept jeweils nur für eine bestimmte Kombination aus Betriebssystem, PHP-Version und Webserver. Kleiner ist das Risiko dadurch nicht geworden, denn Unit 42 beobachtete bei einer europäischen Behörde einen Angreifer, der vermutlich mit KI-Unterstützung arbeitete. Innerhalb von zwei Stunden nach dem ersten Einbruch hatte dieser Passwort-Hashes und MFA-Secrets erbeutet, einen NTLM-Relay-Tunnel ins Active Directory aufgebaut und versucht, Domain-Admin-Rechte zu erlangen.
Was können die Folgen sein?
Palo Alto Cortex Xpanse zählt mehr als 22,6 Millionen potenziell verwundbare Instanzen. In den Niederlanden wurden am 21. Oktober vorsorglich Websites vom Netz genommen, darunter die der Tweede Kamer (der Zweiten Kammer des niederländischen Parlaments) und des niederländischen NCSC, wie Dutch IT Channel berichtet. Das NCSC hatte zu diesem Zeitpunkt noch keinen Missbrauch festgestellt. Für MSPs betrifft dies nahezu jede Webhosting-Umgebung, jedes CMS und jede Kundenwebsite auf einem eigenen Server. Ein übernommener Webserver ist ein Sprungbrett ins interne Netzwerk, wie der Angriff auf die Behörde zeigt. Auch Appliances mit PHP sind betroffen: Palo Alto meldet, dass alle PAN-OS- und Panorama-Versionen verwundbar sind und es noch keine Fixes gibt, während Fortinet und Cisco ihre Produkte noch untersuchen.
Was müssen IT-Administratoren jetzt tun?
Aktualisieren Sie auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, oder installieren Sie die gepatchten Pakete Ihrer Linux-Distribution oder Ihres LTS-Anbieters. Laufen Systeme mit PHP 8.1 oder älter, fordern Sie beim Anbieter einen Backport an oder nehmen Sie das System vom Internet. Können Sie nicht sofort patchen, empfiehlt das britische NCSC, das System offline zu nehmen. Als vorübergehende Maßnahme nennt Datadog das Erzwingen von memory_limit=-1 auf Administratorebene, ergänzt durch Request-Limits für das Frontend und Speicherlimits für den Container. Cloudflare bietet WAF-Regeln für bekannte Angriffsmuster, auch für Kunden mit Gratis-Tarif. Suchen Sie außerdem nach Webshells und auffälligem Traffic, insbesondere auf Servern, die seit dem 17. Oktober öffentlich erreichbar waren, und prüfen Sie die Nutzer von rpms.remirepo.net: Dieses Repository hatte zum Zeitpunkt der Veröffentlichung noch kein Update. Das Open-Source-Tool php2shell-scanner von Searchlight Cyber zeigt, ob ein Host angreifbar ist.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
