PHP2Shell-Angreifer versuchen, Potassium-DDoS-Botnet aufzubauen – bislang gescheitert
- Angreifer versuchen, PHP2Shell einzusetzen, um den Mirai-abgeleiteten DDoS-Botnet Potassium zu installieren.
- Forscher haben weit verbreitete Exploit-Versuche beobachtet, aber bis zum 23. Oktober keine öffentlich bestätigten Massenkompromittierungen.
- Funktionierende Production-Exploits existieren nun, was Administratoren unter Druck setzt, anfällige PHP-Installationen zu patchen.
„durchführbar und sehr ernsthaft.“
— John Hultquist, Google, zitiert von The Record.
Warum ein DDoS-Botnet Hosting- und Kryptoanbieter beunruhigt
Die umfassendere Bedrohung ist bereits erheblich. Cloudflare verzeichnete in der ersten Hälfte des Jahres 2026 935 DDoS-Angriffe mit einer Stärke von über 1 Terabit pro Sekunde.
Diese Angriffe wurden nicht Potassium zugeschrieben. Sie veranschaulichen jedoch die Störungen, mit denen Hosting-Anbieter, Zahlungsabwickler und Krypto-Plattformen konfrontiert sind. Keine finanziellen Verluste wurden mit PHP2Shell in Verbindung gebracht.
Die neue Advisory zu PHP und worauf man achten sollte
Am 23. Oktober gab PHP ein weiteres Problem bekannt: CVE-2026-115560, das eine ungewöhnliche Anwendungskonfiguration betrifft. Bis zur Veröffentlichung eines regulären Patches wird empfohlen, session.upload_progress.enabled=0 zu setzen, was ebenfalls als Schutzmaßnahme für CVE-2026-109619 dient.
Administratoren sollten PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 installieren, Worker neu starten und auf verdächtige Downloads überwachen.
Der Cobalt-CISO Andrew Obadiaru warnte, dass diese ruhige Phase ist:
„geliehene Zeit.“
— Andrew Obadiaru, Cobalt, zitiert von The Record.
„Müll und funktionsuntüchtig.“
— Spencer McIntyre, VulnCheck, zitiert von The Record.
Dieser Schutz ist nicht unfehlbar. VulnCheck entwickelte einen privaten Exploit, der ASLR auf PHP 8.4.26 in Produktionskonfiguration umging und die Unterstützung später auf ausgewählte Builds der Versionen 8.4 und 8.5 ausweitete.
Googles John Hultquist bezeichnete die Bedrohung als:
„durchführbar und sehr ernsthaft.“
— John Hultquist, Google, zitiert von The Record.
Warum ein DDoS-Botnet Hosting- und Kryptoanbieter beunruhigt
Die umfassendere Bedrohung ist bereits erheblich. Cloudflare verzeichnete in der ersten Hälfte des Jahres 2026 935 DDoS-Angriffe mit einer Stärke von über 1 Terabit pro Sekunde.
Diese Angriffe wurden nicht Potassium zugeschrieben. Sie veranschaulichen jedoch die Störungen, mit denen Hosting-Anbieter, Zahlungsabwickler und Krypto-Plattformen konfrontiert sind. Keine finanziellen Verluste wurden mit PHP2Shell in Verbindung gebracht.
Die neue Advisory zu PHP und worauf man achten sollte
Am 23. Oktober gab PHP ein weiteres Problem bekannt: CVE-2026-115560, das eine ungewöhnliche Anwendungskonfiguration betrifft. Bis zur Veröffentlichung eines regulären Patches wird empfohlen, session.upload_progress.enabled=0 zu setzen, was ebenfalls als Schutzmaßnahme für CVE-2026-109619 dient.
Administratoren sollten PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 installieren, Worker neu starten und auf verdächtige Downloads überwachen.
Der Cobalt-CISO Andrew Obadiaru warnte, dass diese ruhige Phase ist:
„geliehene Zeit.“
— Andrew Obadiaru, Cobalt, zitiert von The Record.
Angreifer versuchen, anfällige PHP-Server in Potassium-Bots zu verwandeln, die Teil eines aus Mirai abgeleiteten Netzwerks sind, das für Distributed-Denial-of-Service-Angriffe (DDoS) konzipiert ist. Bisher waren sie jedoch dabei nicht erfolgreich. The Hacker News berichtete am 23. Oktober, dass keine Serverkompromittierungen bestätigt wurden.
Es gab zwei schwerwiegende PHP-Sicherheitslücken, die im Mittelpunkt der Cyberangriffe standen – CVE-2026-109618 und CVE-2026-109619 –, die beide einen Schweregrad von 9,2 von 10 Punkten erhielten. PHP stellte die Patches am 21. Oktober bereit, doch zu diesem Zeitpunkt hatten Hacker bereits begonnen, Angriffe gegen diese Sicherheitslücken zu starten.
Was Sophos zunächst sah und dann korrigierte
Arctic Wolf berichtet, dass versuchte Befehlsausführungen und Malware-Downloads auf Potassium zurückgeführt wurden. Eine weitere Bewertung, die in einer Sandbox-Umgebung durchgeführt wurde, ergab eine andere Probe, die über die IP 134.199.154[.]64 am TCP-Port 50792 eine Verbindung zu thunder.godofthunder[.]st herstellte und zwei ukrainische Hosts angriff.
Dies demonstrierte das Potenzial der Malware, nicht jedoch, dass Angreifer die Produktionsserver kompromittiert haben. Am 22. Oktober zog Sophos eine frühere Erfolgsmeldung zurück und erklärte gegenüber The Record, dass nur erfolglose Angriffsversuche beobachtet worden seien.
Millionen von Probes, null bestätigte Einbrüche
Die Zahlen deuten jedoch darauf hin, wie intensiv die Angreifer sondieren. Imperva verzeichnete 482.342 Anfrageversuche in 122.311 Sitzungen, die innerhalb von 24 Stunden auf 21.998 Websites in 103 Ländern abzielten.
Gleichzeitig meldete Censys, dass über 41 Millionen internetzugängliche PHP-Dienste mit betroffenen Versionen detected wurden, während bis zum 22. Oktober nur etwa 1 Million Instanzen mit gepatchten Softwareversionen eingesetzt waren. Die Zahlen, die Scanning-Vorfälle oder die Anzahl der exponierten Personen widerspiegeln, reichen nicht aus, um einen tatsächlichen Kompromiss nachzuweisen.
24-Flutbefehle und einen schlafenden ENS-Switch
Arctic Wolf hat bekanntgegeben, dass 24 Flood-Befehle alle Arten von ICMP, TCP, UDP und OpenVPN umfassen. Zudem wurden in beiden ARM- und x86-64-Versionen von Potassium Funktionen zur Abfrage des Ethereum Name Service (ENS) festgestellt, die jedoch in beiden Fällen deaktiviert sind.
Ethereum und ENS wurden nicht kompromittiert. Die Aktivierung der ENS-Lookup-Funktionen kann jedoch dazu führen, dass die Blockierung von Command-and-Control-Servern mit herkömmlichen DNS- und IP-Kontrollmaßnahmen erschwert wird.
Müllige Proof-of-Concepts versus ein funktionierender privater Exploit
Viele öffentliche Proof-of-Concept-(PoC)-Exploits schlagen gegen Produktionsabwehr fehl, insbesondere gegen Address Space Layout Randomization (ASLR). Spencer McIntyre von VulnCheck beschrieb viele umlaufende Samples als:
„Müll und funktionsuntüchtig.“
— Spencer McIntyre, VulnCheck, zitiert von The Record.
Dieser Schutz ist nicht unfehlbar. VulnCheck entwickelte einen privaten Exploit, der ASLR auf PHP 8.4.26 in Produktionskonfiguration umging und die Unterstützung später auf ausgewählte Builds der Versionen 8.4 und 8.5 ausweitete.
Googles John Hultquist bezeichnete die Bedrohung als:
„durchführbar und sehr ernsthaft.“
— John Hultquist, Google, zitiert von The Record.
Warum ein DDoS-Botnet Hosting- und Kryptoanbieter beunruhigt
Die umfassendere Bedrohung ist bereits erheblich. Cloudflare verzeichnete in der ersten Hälfte des Jahres 2026 935 DDoS-Angriffe mit einer Stärke von über 1 Terabit pro Sekunde.
Diese Angriffe wurden nicht Potassium zugeschrieben. Sie veranschaulichen jedoch die Störungen, mit denen Hosting-Anbieter, Zahlungsabwickler und Krypto-Plattformen konfrontiert sind. Keine finanziellen Verluste wurden mit PHP2Shell in Verbindung gebracht.
Die neue Advisory zu PHP und worauf man achten sollte
Am 23. Oktober gab PHP ein weiteres Problem bekannt: CVE-2026-115560, das eine ungewöhnliche Anwendungskonfiguration betrifft. Bis zur Veröffentlichung eines regulären Patches wird empfohlen, session.upload_progress.enabled=0 zu setzen, was ebenfalls als Schutzmaßnahme für CVE-2026-109619 dient.
Administratoren sollten PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 installieren, Worker neu starten und auf verdächtige Downloads überwachen.
Der Cobalt-CISO Andrew Obadiaru warnte, dass diese ruhige Phase ist:
„geliehene Zeit.“
— Andrew Obadiaru, Cobalt, zitiert von The Record.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Was ist Potassium?
Potassium ist eine Variante des aus Mirai abgeleiteten Botnets, die erstmals im März 2026 von Synthient gemeldet wurde. Laut Sophos enthält es nun Downloader- und Netzwerkstörungscode und kann DDoS-Angriffe über Protokolle einschließlich ICMP, TCP, UDP und OpenVPN durchführen.
Hat ein Server tatsächlich über PHP2Shell kompromittiert werden können?
Nein. Sophos hat eine frühere Behauptung einer erfolgreichen Ausnutzung am 22. Oktober zurückgezogen, und Google, VulnCheck sowie andere Forscher geben an, dass sie zwar Angriffe beobachtet haben, aber keine bestätigten Fälle von Remote-Code-Ausführung.
Welche PHP-Versionen beheben die Schwachstellen?
PHP hat am 21. Oktober Patches in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Administratoren wird dringend empfohlen, zuerst internetzugängliche Systeme zu patchen und sicherzustellen, dass ihre Webserver-Prozesse die gepatchte Laufzeitumgebung ausführen.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Micah Abiodun
Micah Abiodun nutzt sein Masterstudium in Umwelttechnik und -management (MSc) an der Technischen Universität Tallinn (TalTech), um Inhalte und Preisprognose-Nachrichten bei Cryptopolitan zu verfeinern. Seit nunmehr sieben Jahren im Krypto-Medienbereich tätig, berichtet er über große Kryptowährungen, Altcoins, DeFi, Stablecoins, makroökonomische Trends und aufkommende Technologien.
