PHP2Shell: Angriffe laufen schon – Cloudflare zählt Millionen Versuche

Die kritischen Sicherheitslücken in der Programmiersprache PHP werden bereits massenhaft angegriffen. Cloudflare-Chef Matthew Prince berichtete am späten Mittwochabend auf X von Millionen Ausnutzungsversuchen gegen Kunden des Netzdienstleisters, wie Reuters meldete. Demnach stieg die Zahl von einigen Tausend in den zehn Stunden vor der Bekanntgabe auf Zehntausende binnen 45 Minuten danach und Hunderttausende nach zwei Stunden. Amazons Sicherheitschef CJ Moses schrieb im Firmenblog, PHP2Shell werde „inzwischen breit in freier Wildbahn ausgenutzt“. Ob die Versuche bei echten Systemen Erfolg gehabt hätten, sei allerdings noch unklar.

Brisant ist der Zeitpunkt: Eine Honeypot-Falle von Amazon registrierte bereits am 17. Oktober – vier Tage vor der Veröffentlichung – einen Angriffsversuch über ein kommerzielles Anonymisierungsnetz. Woher der Angreifer seine Informationen hatte, ist laut Amazon offen. Nach Angaben des Fachportals The Hacker News waren Details und ein Beispiel-Exploit vorzeitig durchgesickert, weshalb die PHP-Entwickler ihre Updates einen Tag früher als geplant am Mittwoch veröffentlichten. Die beiden Lücken CVE-2026-109618 und CVE-2026-109619 sind mit 9,2 von 10 Punkten bewertet und erlauben es, ohne Anmeldung Code auf Webservern auszuführen.

Abgesichert sind laut dem Sicherheitsunternehmen Tenable die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35; für ältere Zweige gibt es nur Notkorrekturen oder gar keine Hilfe. Der Dienst VulnCheck zählte rund 2,6 Millionen aus dem Internet erreichbare Server mit PHP, davon mehr als 700.000 mit veralteten Versionen bis 7.3. Erschwerend kommt hinzu, dass Angriffe kaum Spuren hinterlassen: „Es gibt keine Authentifizierung zu umgehen, keine Sitzung zu stehlen“, erklärte CrowdStrike. Amazon rät, Updates binnen Stunden statt Tagen einzuspielen und Server ab dem 17. Oktober auf Auffälligkeiten zu prüfen.