PHP2Shell: Bis zum 23. Oktober kein Opfer namentlich bestätigt, CISA führt die Lücken seit dem 26. Oktober im KEV-Katalog

Erster Angriffsversuch lief vier Tage vor der Offenlegung

Laut einem Bericht von The Register vom 22. Oktober registrierte Amazon Threat Intelligence am 17. Oktober einen ersten Ausnutzungsversuch von PHP2Shell, vier Tage vor der Offenlegung. Das Honeypot-Netz MadPot zeichnete ihn auf. Der Versuch kam von einer IP-Adresse eines kommerziellen Anonymisierungsnetzes. Die Angabe liegt nur in der Wiedergabe von shattered.io vor. Ein Amazon-Primärdokument gibt es im Material nicht.

Am Offenlegungstag, dem 21. Oktober, sah Amazon mehrere Proof-of-Concept-Exploits. Der früheste tauchte gegen 02:00 UTC auf, rund zwölf Stunden vor dem geplanten Embargo-Ende um 14:00 UTC. Das PHP-Projekt hatte am 20. Oktober eine Notfall-Veröffentlichung angekündigt. Am 21. Oktober stellte es die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 bereit. Eine Quelle berichtet, der Patch sei einen Tag früher als geplant gekommen, weil die CVE-Kennungen CVE-2026-109618 und CVE-2026-109619 online geleakt worden seien. Beide Angaben beziehen sich nicht auf einen gemeinsamen Referenztermin. Eine Primär-Timeline fehlt.

Millionen Versuche, bis zum 23. Oktober kein bestätigter Einbruch

Die Quellen zeichnen kein einheitliches Bild. Laut Kaspersky registrierte Cloudflare Millionen Ausnutzungsversuche. Sophos meldet Versuche, über PHP2Shell die Mirai-Variante „Potassium“ zu installieren. Hadrian beobachtet Ausnutzung im großen Maßstab, vor allem über den Session-Upload-Progress-Pfad von PHP. Patchstack bestätigt mehrere aktive Vorfälle.

Huntress und CISA sahen zum Stand 21. Oktober keine Ausnutzung. Damals führte CISA die Lücken nicht im KEV-Katalog. SecurityWeek bestätigt zum Stand der Meldung (22./23. Oktober) keine erfolgreiche Kompromittierung. Bis zu diesem Stand ist kein Opfer namentlich genannt.

Nachtrag: Laut aktualisiertem CISA-Alert hat CISA beide CVEs am 26. Oktober in den KEV-Katalog aufgenommen. Mehr steht dazu im Material nicht, insbesondere keine Begründung. Ob damit namentlich bestätigte Opfer vorliegen, bleibt offen. Ein Reddit-Beitrag vom 26. Oktober nennt eine konkrete Website (stealmybitcoin.com) als ausgenutzt. Das ist eine unbestätigte Nutzermeldung.

Die Widersprüche zwischen den Quellen erklären sich großteils durch unterschiedliche Messpunkte wie Honeypots, WAF-Telemetrie und Kundensysteme sowie durch Zeitpunkte zwischen dem 21. und 23. Oktober. Hinzu kommt, dass die Quellen Versuche und gelungene Kompromittierungen unterschiedlich zählen. Cisco Talos stellt die Snort-Signaturen 67359, 67360 und 67375 bereit, dazu Splunk-Detections. Am 22. Oktober ergänzte Talos Indikatoren zu In-the-wild-Aktivität.

Behörden, Hafen und Hochschulen gehen vorsorglich offline

Die australische Cyberbehörde ACSC hat cyber.gov.au vom Netz genommen. Offline gingen außerdem Behördenseiten in Frankreich, Finnland, Dänemark und den Niederlanden, dazu Wikipedia-Systeme und der Hafen Rotterdam. Das Vereinigte Königreich meldete 32 nicht verfügbare Dienste und vier teilweise nicht verfügbare. Das lag überwiegend an vorsorglichen Maßnahmen während des Patchens. Laut Kaspersky waren auch Deutschland und Belgien betroffen. In Österreich nahmen Universitäten, Kammern und Konzerne ihre Websites vom Netz.

Das sind Vorsichtsmaßnahmen. Belegte Kompromittierungen dieser Systeme nennt das Material nicht.

11,2 Prozent verwundbar: Was die europäische Messung und die 70-Prozent-Zahl aussagen

risikomonitor.com erhob zusammen mit EY Österreich die Websites der 27 EU-Staaten, der Schweiz und Liechtensteins. Am Offenlegungstag waren 3,9 Millionen Websites mit sichtbarer PHP-Version verwundbar. Das entspricht 11,2 Prozent von 34,9 Millionen erreichbaren. Binnen Tagen sank der Anteil auf 5,6 Prozent. Vier Fünftel der verbliebenen Verwundbaren laufen auf PHP-Versionen ohne Sicherheitsupdates. Die Messung erfasst nur Seiten, die ihre PHP-Version sichtbar machen.

Die Zahl „70 Prozent aller Websites“ ist laut W3Techs ein PHP-Marktanteil unter Websites mit bekannter serverseitiger Sprache. Eine Verwundbarkeitsquote ist sie nicht. Wiz und Kaspersky verwenden sie breiter. Bechtle spricht von „mehr als der Hälfte aller Websites“. WordPress, Drupal, Joomla, Magento, MediaWiki und TYPO3 sind PHP-Anwendungen. Ob eine konkrete Installation betroffen ist, hängt von der darunterliegenden PHP-Version ab.

Altversionen, Herstellerangaben und offene Fragen

Zu PHP 8.1 und älter widersprechen sich die Quellen. Eine Studie, die eine Woche nach dem Update erschien, meldet keine offiziellen Updates mehr. Ein Update vom 22. Oktober nennt dagegen gepatchten Quellcode für 7.4, 8.0 und 8.1. Dazu kommen Backports von Red Hat und AlmaLinux für eingestellte Zweige. Die Aussagen stammen also aus unterschiedlichen Zeitpunkten. Offen ist, ob die Studie die Nachträge nicht berücksichtigt oder anders zählt.

Für Betreiber heißt das: Die Zweige 8.2 bis 8.5 brauchen sofort die genannten Versionen. Wer 7.4, 8.0 oder 8.1 betreibt, muss den nachgereichten Quellcode oder die Distributions-Backports einspielen. Andernfalls bleibt nur die Migration.

Herstellerangaben sind als solche zu lesen. Wiz bezeichne die Funde als „unter den schwerwiegendsten in PHP und wohl in der Softwaregeschichte“. OpenAI-Präsident Brockman erwarte „viele weitere“ KI-Funde und spreche von einem 14 Jahre alten Fehler. Die Daybreak-Zusage über eine Milliarde Dollar stammt nur aus einer Sekundärquelle und ist nicht verifiziert.

Offen bleibt, ob beide Lücken oder mindestens eine jede Version seit 5.4 betreffen. Auch Zeitpunkt und Beteiligte der Entdeckung (Calif, OpenAI, Wiz) variieren. Primärtexte fehlen.

Laut Amazon (über The Register) begann die Ausnutzung vor der Offenlegung. Für Betreiber zählt daher das Patch-Tempo vor dem Advisory-Tag, nicht danach.