Amazon: PHP2Shell-Angriffe begannen Tage vor den Patches

Angreifer haben Millionen von Versuchen unternommen, die PHP2Shell-Schwachstellen auszunutzen, zwei kritische Sicherheitslücken in der Programmiersprache PHP. Amazon gibt an, dass der erste Versuch, den sie beobachteten, vier Tage vor der Veröffentlichung der Patches stattfand. Dennoch berichten europäische Cybersicherheitsbehörden, dass Hacker Schwierigkeiten hatten, die Schwachstellen in funktionierende Angriffe umzuwandeln, was die Frage offen lässt, wie groß der tatsächliche Schaden durch die durchgesickerte und überstürzte Offenlegung ist.

Eine Welle von Angriffsversuchen

Cloudflare-CEO Matthew Prince sagte am Donnerstagmorgen, dass sein Unternehmen Millionen von Exploit-Versuchen gesehen habe, berichtete Politico. Cloudflare zählte Tausende von Versuchen in den 10 Stunden vor der öffentlichen Ankündigung, Zehntausende in den 45 Minuten danach und Hunderttausende innerhalb von zwei Stunden, so The Register. Cloudflare teilte zudem mit, dass Angreifer ihre Payloads anpassten, um die Firewall-Regeln zu umgehen.politico.eu+1

Die Schwachstellen werden als CVE-2026-109618 und CVE-2026-109619 geführt. Beide haben einen Schweregrad von 9,2 und können es einem Angreifer ermöglichen, Code auf einem Server ohne Anmeldung auszuführen. PHP veröffentlichte am 21. Oktober Korrekturen in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, so Security Affairs. Das PHP-Team musste das Veröffentlichungsdatum vorziehen, nachdem Details zu den Fehlern online durchgesickert waren, berichtete BleepingComputer.bleepingcomputer.com+1

Amazons frühe Erkennung

In einem Blogbeitrag schrieb Amazon Threat Intelligence, dass ihr MadPot-Honeypot-Netzwerk, eine Reihe von Ködersystemen, die Angreifer anlocken sollen, am Samstag, den 17. Oktober, einen PHP2Shell-Exploit-Versuch aufgezeichnet hat. Der Versuch stammte von einer IP-Adresse, die mit einem kommerziellen Anonymisierungsnetzwerk verbunden ist. Es bleibt unklar, wie der Akteur vor der Offenlegung an Informationen über den Exploit gelangte, schrieb CJ Moses, Chief Information Security Officer bei Amazon.aws.amazon.com

Am 21. Oktober beobachtete Amazon mehrere Proof-of-Concept-Exploits ab etwa 02:00 Uhr UTC, etwa 12 Stunden vor der Veröffentlichung um 14:00 Uhr UTC. Die Payloads variierten, was laut Amazon auf mehrere Akteure hindeutet. Das Unternehmen erklärte, dass PHP2Shell nun breitflächig in freier Wildbahn ausgenutzt werde, fügte aber hinzu, dass unklar sei, ob einer dieser Versuche gegen echte Systeme funktioniert hätte. Amazon riet Organisationen, nach verdächtigen Aktivitäten zu suchen, die bis mindestens zum 17. Oktober zurückreichen, berichtete The Register.theregister.com

Behörden sehen wenig Erfolg

Thomas Caspers, Vizepräsident des Bundesamtes für Sicherheit in der Informationstechnik (BSI), sagte gegenüber Politico, dass die Behörde zwar Angriffe gesehen habe, aber keine erfolgreiche Ausnutzung. Es scheint etwas komplizierter als erwartet zu sein, die Schwachstelle auszunutzen, sagte er. Matthijs van Amelsfort, Leiter der niederländischen Cybersicherheitsbehörde, sagte, es gebe keine Anzeichen dafür, dass die Schwachstelle aktiv missbraucht werde, warnte jedoch, dass sich dies ändern könne.politico.eu

Mehrere europäische Regierungsbehörden nahmen ihre Websites vorsorglich offline. Am Donnerstagmorgen zeigten die Websites des französischen Justizministeriums und der Datenschutzbehörde immer noch Wartungshinweise an, berichtete Politico.politico.eu