Forscher bestätigen: PHP2Shell-Schwachstellen werden aktiv ausgenutzt

Angreifer haben die PHP2Shell-Schwachstellen genutzt, um Shell-Befehle auf Lockvogel-Servern auszuführen. Der Forscher, der die Aktivität aufzeichnete, beschrieb sie als bestätigte Remote Code Execution (RCE), ein Schritt über die zuvor gemeldeten Scans und Abstürze hinaus. Zuvor hatten Sicherheitsfirmen Millionen von Ausnutzungsversuchen registriert, seit die Schwachstellen letzte Woche öffentlich wurden, aber keine hatte bestätigt, dass tatsächlich Code ausgeführt wurde, berichtete SecurityWeek.securityweek.com

Honeypots zeichnen 35 Shells auf

Adel Karimi, Forscher bei Perplexity, betreibt Honeypots, die gewöhnliche PHP-basierte Seiten bereitstellen. Sie verwenden PHP 8.4.26 unter Apache mod_php mit einem einzelnen Worker. Sein erster Bericht deckte etwas mehr als 26 Stunden ab und protokollierte 30 Speicherfehler und 11 Abstürze, ohne Codeausführung. Am 24. Oktober registrierten seine Sensoren jedoch 35 Shells auf drei Honeypots. Eine IP-Adresse erzeugte drei Shells und eine andere 32, so SecurityWeek.securityweek.com

Die Angreifer verwendeten eine vierstufige Kette von HTTP-Anfragen. Die ersten Anfragen erschöpften den Speicher von PHP, die nächsten ließen Speicherinhalte durchsickern, und die letzte führte einen Shell-Befehl aus. Der Datenverkehr entsprach weitgehend einem öffentlichen Proof-of-Concept-Exploit für CVE-2026-109618, und es wurde kein sekundärer Payload heruntergeladen. "Dies ist nun eine bestätigte RCE mit nutzbarer Speicherenthüllung, nicht nur ein Absturz gefolgt von einem verdächtigen Prozess", sagte Karimi. Er fügte hinzu, dass der Shell-Befehl etwa 1,6 Millisekunden nach der letzten Anfrage ausgeführt wurde.bleepingcomputer.com+1

Karimi warnte, dass sein Setup "absichtlich günstig" sei und nicht messe, wie zuverlässig der Exploit bei anderen Konfigurationen sei. Expel-Forscher Marcus Hutchins nannte die Ergebnisse "die bei weitem hochwertigste Bestätigung einer PHP2Shell-Ausnutzung in freier Wildbahn, die ich bisher gesehen habe". Bis zum Morgen des 26. Oktober hatte CISA die Schwachstellen noch nicht in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen.securityweek.com

Patch nach Datenleck

Beide Schwachstellen sind unter CVSS 4.0 mit 9,2 bewertet und ermöglichen es nicht authentifizierten Angreifern, Code auszuführen, indem sie den internen Speicher von PHP beschädigen, wenn die Anforderungsverarbeitung fehlschlägt. PHP behob sie am 21. Oktober in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, laut Beazley Security. PHP zog die Veröffentlichung um einen Tag vor, nachdem die CVE-Identifikatoren auf Hacker News durchgesickert waren. Amazon registrierte am 17. Oktober einen Ausnutzungsversuch, vier Tage vor der Offenlegung. Bis zum 23. Oktober wurden mehr als 34,4 Millionen PHP-Dienste weiterhin als verwundbar eingestuft.labs.beazley.security+3

Der "Schwarze Oktober" der KI

Forscher bei Wiz und Calif fanden die Schwachstellen im August mithilfe von KI-Modellen von OpenAI und Google, berichtete CNBC. Die Welle der durch KI entdeckten Fehler wurde als "Schwarzer Oktober" bezeichnet, und einige Organisationen nahmen ihre Websites offline, während sie Patches einspielten. Investoren wetteten darauf, dass die Episode die Ausgaben für Sicherheit erhöhen würde. Aktien von Okta ↗ 3.27%, Palo Alto Networks ↗ 2.60% und CrowdStrike ↗ 1.65% legten letzte Woche zu, laut Zacks via The Globe and Mail. Dennoch hat Arctic Wolf "vergleichsweise wenige Beweise für eine zuverlässige Ausnutzung in großem Maßstab" gemeldet.theglobeandmail.com+3