{"id":31,"date":"2026-10-24T07:40:59","date_gmt":"2026-10-24T05:40:59","guid":{"rendered":"https:\/\/mspbusiness.com\/de\/it-nachrichten\/patchwork-samstag-24-oktober\/"},"modified":"2026-10-24T22:11:00","modified_gmt":"2026-10-24T20:11:00","slug":"patchwork-samstag-24-oktober","status":"publish","type":"post","link":"https:\/\/mspbusiness.com\/de\/security\/patchwork-samstag-24-oktober\/","title":{"rendered":"Patchwork \u2013 Samstag, 24. Oktober"},"content":{"rendered":"

PHP2Shell besch\u00e4ftigt die IT-Welt: zwei kritische L\u00fccken in PHP selbst, mit mehr als 22 Millionen potenziell verwundbaren Servern. Inzwischen wurde Missbrauch beobachtet, unter anderem ein Angriff auf eine europ\u00e4ische Beh\u00f6rde, bei dem der Angreifer in zwei Stunden von einer Webshell bis ins Active Directory gelangte.<\/strong><\/p>\n

PHP2Shell: Zwei kritische RCE-L\u00fccken in PHP werden aktiv ausgenutzt, auch KI-gest\u00fctzte Angreifer sind aktiv<\/h4>\n\n\n\n\n\n\n\n
Schwachstelle<\/td>\nZwei Speicherfehler im Kern von PHP (zusammen PHP2Shell genannt), \u00fcber die ein nicht authentifizierter Angreifer aus der Ferne Code ausf\u00fchren kann: ein Fehler bei der Behandlung von Speichermangel (Out-of-Memory) und ein Use-after-free durch zur\u00fcckgebliebenen globalen Status zwischen Requests. Betroffen sind alle PHP-Installationen, die Webanfragen verarbeiten (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed), das gr\u00f6\u00dfte Risiko besteht bei mod_php<\/td>\n<\/tr>\n
CVE-Nummer<\/td>\nCVE-2026-109618 und CVE-2026-109619<\/td>\n<\/tr>\n
CVSS-Score<\/td>\n9,2 (CVSS 4.0) f\u00fcr beide Schwachstellen<\/td>\n<\/tr>\n
Aktiv ausgenutzt<\/td>\nJa. Amazon registrierte bereits am 17. Oktober 2026 einen Versuch, vier Tage vor der \u00f6ffentlichen Bekanntgabe. Unit 42 meldete am 23. Oktober einen Angriff auf eine europ\u00e4ische Beh\u00f6rde<\/td>\n<\/tr>\n
Patch verf\u00fcgbar<\/td>\nJa, seit 21. Oktober: PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. F\u00fcr PHP 7.4, 8.0 und 8.1 (End of Life) gibt es nur Quellcode-Backports; \u00e4ltere Versionen erhalten keinen Fix<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Wie wurde die L\u00fccke ausgenutzt?<\/strong><\/p>\n

Details zu den L\u00fccken sickerten am 20. Oktober online durch, bevor die Patches fertig waren. Laut Help Net Security<\/a> registrierte Amazon Threat Intelligence mit dem Honeypot-Netzwerk MadPot bereits am 17. Oktober einen Exploit-Versuch von einer IP-Adresse eines kommerziellen Anonymisierungsdienstes. Eine einzige nicht authentifizierte Anfrage gen\u00fcgt, und der Angriff funktioniert, bevor Anwendungscode ausgef\u00fchrt wird. Laut der verf\u00fcgbaren Analyse<\/a> von Rapid7 funktionieren die \u00f6ffentlichen Proofs of Concept jeweils nur f\u00fcr eine bestimmte Kombination aus Betriebssystem, PHP-Version und Webserver. Kleiner ist das Risiko dadurch nicht geworden, denn Unit 42<\/a> beobachtete bei einer europ\u00e4ischen Beh\u00f6rde einen Angreifer, der vermutlich mit KI-Unterst\u00fctzung arbeitete. Innerhalb von zwei Stunden nach dem ersten Einbruch hatte dieser Passwort-Hashes und MFA-Secrets erbeutet, einen NTLM-Relay-Tunnel ins Active Directory aufgebaut und versucht, Domain-Admin-Rechte zu erlangen.<\/p>\n

Was k\u00f6nnen die Folgen sein?<\/strong><\/p>\n

Palo Alto Cortex Xpanse z\u00e4hlt mehr als 22,6 Millionen potenziell verwundbare Instanzen. In den Niederlanden wurden am 21. Oktober vorsorglich Websites vom Netz genommen, darunter die der Tweede Kamer (der Zweiten Kammer des niederl\u00e4ndischen Parlaments) und des niederl\u00e4ndischen NCSC, wie Dutch IT Channel<\/a> berichtet. Das NCSC hatte zu diesem Zeitpunkt noch keinen Missbrauch festgestellt. F\u00fcr MSPs betrifft dies nahezu jede Webhosting-Umgebung, jedes CMS und jede Kundenwebsite auf einem eigenen Server. Ein \u00fcbernommener Webserver ist ein Sprungbrett ins interne Netzwerk, wie der Angriff auf die Beh\u00f6rde zeigt. Auch Appliances mit PHP sind betroffen: Palo Alto meldet, dass alle PAN-OS- und Panorama-Versionen verwundbar sind und es noch keine Fixes gibt, w\u00e4hrend Fortinet und Cisco ihre Produkte noch untersuchen.<\/p>\n

Was m\u00fcssen IT-Administratoren jetzt tun?<\/strong><\/p>\n

Aktualisieren Sie auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, oder installieren Sie die gepatchten Pakete Ihrer Linux-Distribution oder Ihres LTS-Anbieters. Laufen Systeme mit PHP 8.1 oder \u00e4lter, fordern Sie beim Anbieter einen Backport an oder nehmen Sie das System vom Internet. K\u00f6nnen Sie nicht sofort patchen, empfiehlt das britische NCSC, das System offline zu nehmen. Als vor\u00fcbergehende Ma\u00dfnahme nennt Datadog<\/a> das Erzwingen von memory_limit=-1 auf Administratorebene, erg\u00e4nzt durch Request-Limits f\u00fcr das Frontend und Speicherlimits f\u00fcr den Container. Cloudflare bietet WAF-Regeln f\u00fcr bekannte Angriffsmuster, auch f\u00fcr Kunden mit Gratis-Tarif. Suchen Sie au\u00dferdem nach Webshells und auff\u00e4lligem Traffic, insbesondere auf Servern, die seit dem 17. Oktober \u00f6ffentlich erreichbar waren, und pr\u00fcfen Sie die Nutzer von rpms.remirepo.net: Dieses Repository hatte zum Zeitpunkt der Ver\u00f6ffentlichung noch kein Update. Das Open-Source-Tool php2shell-scanner von Searchlight Cyber zeigt, ob ein Host angreifbar ist.<\/p>\n","protected":false},"excerpt":{"rendered":"

PHP2Shell: Zwei kritische RCE-L\u00fccken in PHP werden aktiv ausgenutzt. Patches gibt es f\u00fcr PHP 8.2 bis 8.5. Lesen Sie, was MSPs und IT-Administratoren jetzt tun m\u00fcssen.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"mspb_bron_id":1169400,"mspb_url_nl":"https:\/\/mspbusiness.com\/security-en-privacy\/patchwork-zaterdag-24-oktober\/","mspb_url_de":"","mspb_url_en":"https:\/\/mspbusiness.com\/en\/security\/patchwork-saturday-24-october\/","mspb_beeld_url":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-R-1024x576.png","mspb_beeld_klein":"https:\/\/mspbusiness.com\/wp-content\/uploads\/2026\/09\/patchwork-R-400x225.png","mspb_auteur":"Redactie","mspb_beeld_alt":"","mspb_video":"","_yoast_wpseo_metadesc":"PHP2Shell: Kritische RCE-L\u00fccken in PHP werden aktiv ausgenutzt, auch bei einer europ\u00e4ischen Beh\u00f6rde. Welche Versionen gepatcht sind und was Sie jetzt tun.","footnotes":""},"categories":[3],"tags":[],"layout":[6],"class_list":["post-31","post","type-post","status-publish","format-standard","hentry","category-security","layout-news"],"_links":{"self":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/31","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/comments?post=31"}],"version-history":[{"count":1,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/31\/revisions"}],"predecessor-version":[{"id":32,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/posts\/31\/revisions\/32"}],"wp:attachment":[{"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/media?parent=31"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/categories?post=31"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/tags?post=31"},{"taxonomy":"layout","embeddable":true,"href":"https:\/\/mspbusiness.com\/de\/wp-json\/wp\/v2\/layout?post=31"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}