PHP2Shell-Schwachstellen: Millionen Angriffsversuche durch KI-beschleunigte Exploits
- KI-unterstützte Forschungen haben zwei kritische PHP-Schwachstellen aufgedeckt – CVE-2026-109618 und CVE-2026-109619 –, die eine unberechtigte Remote-Codeausführung und das Auslesen von Speicherbereichen ermöglichen. Diese wurden am 21. Oktober von PHP gepatcht.
- Cloudflare verzeichnete Millionen von Angriffsversuchen, und Regierungen sowie Unternehmen weltweit zogen Dienste vorübergehend vom Netz, obwohl die PHP Foundation angibt, dass keine erfolgreiche Code-Ausführung bekannt ist.
- KI verkürzt zunehmend die Zeitspanne zwischen der Offenlegung einer Schwachstelle und dem Einsatz funktionierender Exploits. Dies übt Druck auf alle aus, die PHP betreiben, und erfordert Patches innerhalb von Stunden statt Tagen.
Am 22. Oktober 2026 versuchten Millionen von Hackern, zwei schwerwiegende Sicherheitslücken in PHP auszunutzen. Regierungen und Unternehmen waren gezwungen, einige Online-Systeme abzuschalten, während Expertenteams eilig Notfall-Patches einsetzten. Dies zeigt, wie wenig Zeit Cybersecurity-Spezialisten heute noch zur Abwehr schwerer Sicherheitslücken bleibt.
Zwei 9.2-Bugs, die einen Server übernehmen können
Die gemeinsam als PHP2Shell bekannten Schwachstellen werden unter den CVE-Nummern CVE-2026-109618 und CVE-2026-109619 geführt. Beide weisen eine kritische Schwere von 9,2 von 10 Punkten auf. Am 21. Oktober 2026 veröffentlichte PHP vier Korrekturen für die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
Das UK’s NCSC warnt, dass die Fehler den internen Speicher von PHP beschädigen können. Unter bestimmten Bedingungen könnte ein Angreifer Code ausführen, ohne sich anzumelden. Wiz zeigte zudem, wie sensible Daten, einschließlich Passwörtern und API-Schlüsseln, aus dem Speicher abfließen könnten.
Laut W3Techs betreibt PHP 69,3 % der Websites mit einer identifizierbaren serverseitigen Sprache. Dies verdeutlicht die weit verbreitete Nutzung von PHP, nicht jedoch das Ausmaß der Kompromittierung von Websites.
Das Fenster zwischen Patch und Exploit schließt sich
Frontier AI half Forschern dabei, Exploits für in PHP seit Jahren versteckte Schwachstellen zu rekonstruieren. Cryptopolitan berichtete, dass die Patches einen Tag früher als geplant bereitstanden, nachdem technische Details geleakt worden waren.
Anzeichen des Angriffs waren sichtbar, bevor erste Vorfälle gemeldet wurden. Am 17. Oktober 2026, vier Tage vor der Veröffentlichung, identifizierte AWS den Versuch in seinen MadPot-Honeypot-Logs. Es ist nicht bekannt, ob der Angriff erfolgreich war. AWS-Sicherheitschef CJ Moses warnte, dass Bedrohungen innerhalb von Stunden oder sogar Minuten nach der Offenlegung durch Angreifer mit KI erstellt werden könnten.
Tausende von Probes wurden innerhalb eines Tages zu Millionen
Matthew Prince, CEO von Cloudflare, gab bekannt, dass in den 10 Stunden vor der Veröffentlichung am 21. Oktober Tausende von Versuchen unternommen wurden. Es dauerte nicht länger als 45 Minuten, bis sich die Versuche auf Zehntausende steigerten. Innerhalb nur zweier Stunden danach überschritten die Versuche die Marke von Hunderttausenden. Und kurz darauf wurden Millionen von Versuchen unternommen. Dies waren Versuche, keine bestätigten Sicherheitslücken.
Cloudflare hatte bereits einen Firewall-Schutz bereitgestellt, aber das konnte ein Patchen nicht ersetzen.
Am 22. Oktober berichtete Reuters über vorsorgliche Dienstunterbrechungen bei Nomura, Mitsubishi UFJ, ANA, East Japan Railway und Orange. Auch Regierungswebsites in Finnland, den Niederlanden und Frankreich waren vorübergehend offline.
Jede Kopie von PHP zu finden ist der schwierigste Teil
PHP kann sich in Geräten verstecken, die Administratoren nur selten zur Überprüfung heranziehen. Die Inventarliste des niederländischen NCSC umfasst auch Produkte von Drittanbietern, die derzeit geprüft werden, darunter Angebote von Fortinet. Searchlight Cyber hat einen Scanner veröffentlicht, um anfällige Hosts zu identifizieren. Da er gezielt den Speichererschöpfungstest durchführt, erfordert seine Verwendung Vorsicht.
Die Geschäftsführerin der PHP Foundation, Elizabeth Barron, teilte WIRED mit:
Unsere Kenntnis nach gab es keinen erfolgreichen Versuch zur Remote-Code-Ausführung.
Wohin die Ausgaben für Sicherheit bereits gehen
Laut der Prognose vom 16. September von Gartner wird die weltweite Ausgaben für KI-gestützte Cybersicherheit im Jahr 2026 bei 51,3 Milliarden US-Dollar liegen und bis 2027 auf fast 86 Milliarden US-Dollar ansteigen. Für die weltweiten Gesamtausgaben für KI prognostiziert sie im Jahr 2026 2,7 Billionen US-Dollar.
PHP2Shell war nicht für diese prognostizierten Kosten verantwortlich. Vielmehr ist dieser Fall eine hervorragende Illustration dafür, wie wichtig es für Unternehmen ist, sich ihrer laufenden Software bewusst zu sein, Schwachstellen schnell zu patchen und Bedrohungen lange vor deren spürbaren Schäden zu erkennen.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Häufig gestellte Fragen
Was ist PHP2Shell?
PHP2Shell ist der Spitzname für zwei kritische PHP-Sicherheitslücken, CVE-2026-109618 und CVE-2026-109619, die jeweils mit 9,2 von 10 bewertet wurden und es einem nicht authentifizierten Angreifer ermöglichen können, Code auf Servern auszuführen oder sensible Prozessspeicher wie Passwörter und API-Schlüssel auszulesen.
Wie schnell nahmen die Angriffe nach der Bekanntgabe zu?
Cloudflare-CEO Matthew Prince erklärte, dass das Netzwerk in den 10 Stunden vor der öffentlichen Ankündigung Tausende von Exploit-Versuchen verzeichnete, innerhalb von 45 Minuten Zehntausende, innerhalb von zwei Stunden Hunderttausende und danach Millionen.
Wurden Systeme tatsächlich kompromittiert?
Es gibt keine bestätigten Kompromittierungen. AWS gab an, einen Exploit-Versuch vom 17. Oktober entdeckt zu haben, konnte jedoch nicht bestätigen, dass dieser erfolgreich war, und die PHP Foundation teilte mit, dass ihr keine erfolgreichen Remote-Code-Ausführungen bekannt sind.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Ibiam Wayas
Ibiam Wayas berichtet seit 2019 über Krypto-Nachrichten. Er studierte Informatik an der National Open University of Nigeria. Seine Arbeiten erschienen in verschiedenen Krypto-Nachrichtenplattformen, darunter Coinfomania, Crypto News Australia und AltcoinBuzz. Aufgrund seines Hintergrunds in der Informatik konzentriert er sich nun auf Nachrichten zu Kryptowährungen, Robotik und Langlebigkeit.
