Zwei Schwachstellen in PHP, zusammen als PHP2Shell bekannt, werden aktiv angegriffen, seit Details vor der geplanten Veröffentlichung durchgesickert sind. Bei 10 % der Organisationen weltweit wurden Angriffsversuche beobachtet. Europa liegt mehr als doppelt so hoch wie andere Regionen, die Niederlande kommen auf 15 %. Behörden in den Niederlanden und Finnland haben vorsorglich Websites vom Netz genommen.
Es geht um CVE-2026-109618 und CVE-2026-109619. Die Zahlen stammen von Check Point Research, das Angriffsversuche zählt, seit die Details an die Öffentlichkeit gelangt sind. Die Forscher betonen, dass „betroffen“ hier für Ausnutzungsversuche steht. Ob ein Angriff auch erfolgreich war, lässt sich aus den Daten nicht ableiten. Die Aktivität erreicht im Stundenverlauf um Mitternacht ihren Höhepunkt, zu einem Zeitpunkt, an dem weniger Security-Teams die Systeme im Blick haben. Check Point Research beschreibt die technischen Details in einer technischen Analyse von PHP2Shell.
Schwachstellen in der PHP-Engine
Die beiden Lücken stecken in der PHP-Engine selbst. Damit ist ein großer Teil des Webverkehrs betroffen: Websites und Webshops auf Basis von WordPress, Drupal, Joomla oder Magento, Shared-Hosting-Plattformen, die Control Panels cPanel und Plesk sowie viele kommerzielle Anwendungen. Ein Angreifer kann ohne Anmeldung aus der Ferne eigenen Code auf einem verwundbaren Server ausführen. Das kann zu Datendiebstahl, Angriffen auf verbundene Systeme oder Ausfällen von Diensten führen.
Da die Details vorzeitig durchgesickert sind, verschafften sich Angreifer einen Vorsprung, während Administratoren weniger Zeit zur Vorbereitung blieb. Inzwischen kursieren auch Screenshots eines Angriffstools, das die Schwachstellen ausnutzt.
Europa und Telekommunikation häufiger im Visier
In Europa wurden bei 14 % der Organisationen Angriffsversuche beobachtet, gegenüber 6 % in Nordamerika, Lateinamerika und APAC. Afrika kommt auf 4 %. Von den achtzehn am stärksten betroffenen Ländern liegen sechzehn in Europa. Ungarn führt mit 38 %, gefolgt von Dänemark (32 %), Österreich (28 %) sowie Schweden und Rumänien (jeweils 22 %). Deutschland kommt auf 16 %, die Niederlande auf 15 %.
Nach Branchen liegt die Telekommunikation mit 20 % an der Spitze, gefolgt vom Bildungswesen mit 18 %. Medien und Unterhaltung sowie Non-Profit-Organisationen liegen bei 16 %. Die IT-Branche kommt auf 12 %, unternehmensnahe Dienstleistungen auf 11 % und die öffentliche Hand auf 9 %. Biotech und Pharma weisen mit 5 % den niedrigsten Wert der 23 untersuchten Branchen auf.
CMS-Update schließt die Lücken nicht
Da der Fehler in PHP liegt, behebt ein Update von WordPress, einem anderen CMS oder von Plugins das Problem nicht. PHP muss direkt auf dem Server aktualisiert werden. Patches sind in PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12 verfügbar. Version 8.1 und älter bleiben verwundbar, solange es keinen Backport des Fixes gibt.
Charlotte Wilson, Head of Enterprise bei Check Point Software Technologies, sieht in der Abschaltung von Behördenwebsites ein Signal dafür, wie ernst die Lage genommen wird. Laut Wilson hat die Aktualisierung der Systeme jetzt Priorität, der Vorfall werfe aber auch die Frage auf, ob Organisationen zu abhängig von Technologie geworden sind, die viele gleichzeitig verwundbar macht.
Empfohlene Maßnahmen
Check Point Research empfiehlt, zunächst alle PHP-Instanzen zu erfassen, einschließlich Containern und Produkten von Drittanbietern. Patchen Sie anschließend, beginnend mit Systemen, die aus dem Internet erreichbar sind. Läuft eine Website bei einem externen Hosting-Anbieter, fragen Sie nach, ob der Patch eingespielt wurde. Starten Sie nach dem Update die betreffenden Dienste neu und prüfen Sie, ob tatsächlich die gepatchte Version läuft. Was sich nicht schnell patchen lässt, können Sie abschirmen oder vorübergehend vom Netz nehmen. Eine Segmentierung zwischen Webservern und Unternehmensnetz begrenzt die Ausbreitung bei einem Einbruch, ersetzt das Update aber nicht.
Ein Patch entfernt keinen Schadcode, der bereits auf einem Server hinterlassen wurde. Anzeichen für eine Kompromittierung sind unter anderem unerklärliche Ausfälle von Webdiensten, neue oder unbekannte PHP-Dateien, auffällige Anfragen an Webserver, Webserver-Prozesse, die Systembefehle ausführen, sowie Verbindungen zu unbekannten externen Adressen.
Check Point meldet zudem, dass das Unternehmen Signatures für sein IPS und seine Web Application Firewall veröffentlicht hat und dass Exposure Management dabei helfen kann, die PHP-Exposition zu erfassen.
Der vollständige Bericht ist über die technische Analyse von PHP2Shell abrufbar.
Dieser Artikel ist ursprünglich auf Niederländisch bei MSP Business erschienen. Zum Originalartikel →
