Cybersicherheitsforscher haben bestätigt, dass zwei kritische Schwachstellen in der Programmiersprache PHP, zusammengefasst unter dem Namen PHP2Shell, nun aktiv in freier Wildbahn ausgenutzt werden. Es handelt sich dabei um die Fehler CVE-2026-1026-109618 und CVE-2026-109619, die es einem Angreifer ermöglichen, beliebige Befehle auf einem anfälligen Server ohne jegliche vorherige Autorisierung aus der Ferne auszuführen. Bis vor Kurzem verzeichneten Experten lediglich Angriffsversuche, hatten jedoch keine Beweise dafür, dass der Schadcode tatsächlich auf den Zielsystemen ausgeführt wurde. Die Situation änderte sich, nachdem unabhängige Forscher vollständige Angriffsketten auf Live-Servern dokumentieren konnten.
Wie der bestätigte Angriff aussah
Die erste öffentliche Bestätigung einer erfolgreichen Ausnutzung kam von Adel Karimi, Leiter der Bedrohungserkennung und Vorfallreaktion bei Perplexity. Seine Honeypot-Server zeichneten einen vollständigen Angriff auf ein System auf, auf dem Apache mit dem mod_php-Modul und PHP-Version 8.4.26 lief. Während der Ausnutzung extrahierte der Angreifer etwa 800 Kilobyte Daten aus dem Prozess Arbeitsspeicher und nutzte dann die erhaltene Funktionsadresse zur Vorbereitung der nächsten Angriffsphase. Laut Karimi führte der Server nach dem Senden des letzten Bytes der entsprechenden HTTP-Anfrage innerhalb von etwa 1,6 Millisekunden einen Shell-Befehl aus. Ähnliche Ergebnisse wurden von Marcus Hutchins, einem Forscher bei Expel, bestätigt, der parallel Berichte über eine erfolgreiche PHP2Shell-Ausnutzung in öffentlichen Kanälen verfolgte.
Chronologie: Von der Exploit-Veröffentlichung bis zum Patch
Das PHP-Entwicklerteam veröffentlichte Patches für beide Schwachstellen am 21. Oktober 2026. Zuvor waren Details zu den Fehlern und eine Reihe von Proof-of-Concept-Exploits bereits öffentlich zugänglich. Dabei betonten die Entwickler, dass die zu diesem Zeitpunkt veröffentlichten Exploit-Varianten nicht zu einer erfolgreichen Codeausführung führten. Dennoch meldeten Unternehmen wie Cloudflare, Hadrian, watchTowr, Previdian und Patchstack massenhafte Angriffsversuche, die zu diesem Zeitpunkt noch nicht in einer Ausnutzung endeten. Spezialisten von Amazon Threat Intelligence verzeichneten die ersten Angriffsversuche bereits am 17. Oktober — vier Tage vor der Veröffentlichung der offiziellen Updates. Somit existierte zwischen der öffentlichen Bekanntgabe und der Patch-Freigabe ein Zeitfenster, in dem Angreifer funktionierende Exploits vermutlich weiterentwickelten.
Ausmaß des potenziellen Schadens
PHP bleibt eine der weltweit verbreitetsten Server-Technologien: Schätzungen zufolge basieren rund 70 % aller Websites im Internet auf dieser Plattform. Laut VirusTotal wurden im öffentlichen Raum mehr als 5,1 Millionen Hosts mit installiertem PHP entdeckt, wobei etwa 3,8 Millionen von ihnen mindestens einen Port aufweisen, der für externes Scannen und potenzielle Angriffe zugänglich ist. Dies bedeutet, dass eine erfolgreiche PHP2Shell-Ausnutzung eine direkte Bedrohung für Millionen von Servern darstellt, die nicht auf die gepatchten Versionen aktualisiert wurden. Für Administratoren, die es versäumt haben, den Patch vor dem 21. Oktober zu installieren, ist es von entscheidender Bedeutung, Zugriffsprotokolle zu prüfen und auf Anzeichen einer unbefugten Befehlsausführung zu untersuchen.
Was Administratoren und Entwickler tun sollten
Die wichtigste Empfehlung lautet sicherzustellen, dass alle Server auf PHP-Versionen aktualisiert werden, die die Korrekturen für CVE-2026-109618 und CVE-2026-109619 enthalten. Bei Systemen, auf denen ein Update nicht unmittelbar möglich ist, sollte der Zugriff auf anfällige Ports auf Firewall-Ebene eingeschränkt und das mod_php-Modul vorübergehend deaktiviert werden, es sei denn, es ist die einzige Funktionsweise der Anwendung. Darüber hinaus wird empfohlen, eine verstärkte Überwachung der Webserver-Protokolle auf für die PHP2Shell-Ausnutzung charakteristische anomale Anfragen zu aktivieren und die Dateiintegrität auf injizierte Web-Shells zu überprüfen. Forscher erinnern daran, dass das Vorhandensein öffentlicher Exploits und die bestätigte Massenausnutzung das Aufschieben von Updates zu einem inakzeptablen Risiko machen.
