Cloudflare verzeichnet Millionen Angriffsversuche auf PHP2Shell

Cloudflare verzeichnete einen rasanten Anstieg von Angriffen, nachdem kritische Schwachstellen in der Programmiersprache PHP öffentlich wurden. CEO Matthew Prince erklärte, dass die Versuche innerhalb weniger Stunden von Tausenden auf Millionen anstiegen. Regierungswebsites in Europa und Asien gingen als Vorsichtsmaßnahme offline, während Administratoren eilig die am Mittwoch, den 21. Oktober, veröffentlichten Notfall-Patches installierten.

"In den 10 Stunden vor der öffentlichen Ankündigung sahen wir im @Cloudflare-Netzwerk Tausende von Versuchen, die Schwachstelle auszunutzen. Das sprang auf Zehntausende in den 45 Minuten nach der Ankündigung, Hunderttausende innerhalb von 2 Stunden und Millionen jetzt", schrieb Prince auf X. Reuters berichtete, dass er dies am späten Mittwoch postete. Prince sagte zudem, Cloudflare habe eine neue Art von Web Application Firewall entwickelt, um die Angriffe zu blockieren, und diese für alle Kunden kostenlos aktiviert.reuters.com+2

Schwachstellen und Korrekturen

Die beiden Schwachstellen, CVE-2026-109618 und CVE-2026-109619, sind zusammen als PHP2Shell bekannt. Beide werden mit einem Schweregrad von 9,2 von 10 bewertet und ermöglichen eine nicht authentifizierte Remote-Code-Ausführung. Die Korrekturen sind laut SecurityWeek in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 enthalten. Die Schwachstellen betreffen fast jede PHP-Version bis zurück zu 5.4. PHP zog die Veröffentlichung vor, nachdem Details einen Tag zu früh online durchgesickert waren, berichtete Notebookcheck. Die NSA warnte, dass Angreifer die Schwachstellen nutzen könnten, um Webserver zu übernehmen, Daten zu stehlen oder tiefer in Netzwerke einzudringen.nsa.gov+2

Einige Angriffe begannen bereits vor der Offenlegung. Amazon-Sicherheitschef CJ Moses sagte, dass die Lockvogel-Server des Unternehmens bereits am 17. Oktober angegriffen wurden, als die Schwachstellen noch unter Embargo standen. Er sagte, PHP2Shell werde "jetzt in freier Wildbahn breit ausgenutzt".cybernews.com

Websites gehen vom Netz

Die Regierungswebsite Finnlands wurde teilweise deaktiviert. Der Oxford City Council, der City of Edinburgh Council und das britische Office for Budget Responsibility nahmen ihre Websites offline, berichtete The Independent. Das britische National Cyber Security Centre riet Organisationen, die nicht sofort aktualisieren können, in Erwägung zu ziehen, ihre Websites abzuschalten. In Japan setzte die Mitsubishi UFJ Financial Group einige Internetdienste aus, und das Finanzministerium pausierte einige Website-Inhalte, so Reuters. Premierministerin Sanae Takaichi forderte Website-Betreiber auf, zu prüfen, ob sie PHP verwenden.independent.co.uk+1

Die Rolle von KI

Das Sicherheitsunternehmen Calif fand die Schwachstellen im August während der Teilnahme an einem OpenAI-Programm, das KI-Modelle zur Identifizierung und Behebung von Schwachstellen nutzt, berichtete Cybernews. OpenAI bezeichnete den Vorfall als "eines der folgenreichsten Sicherheitsprobleme der jüngeren Zeit" und merkte an, dass KI sowohl Angreifern als auch Verteidigern helfen kann, berichtete The Independent.independent.co.uk+1

Ciaran Martin, ein ehemaliger Leiter des NCSC, warnte, dass gestohlene Daten zukünftigen Betrug befeuern könnten. "All diese Art von Betrug und Schwindel und so weiter wird dadurch turboaufgeladen", sagte er.