PHP2Shell: Amazon warnt vor kritischen PHP-Schwächen

Das PHP-Projekt gab am Mittwoch (21.) gegen 14:00 Uhr UTC die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 heraus, um zwei kritische Schwachstellen für die Remote-Codeausführung zu beheben, die als CVE-2026-109618 und CVE-2026-109619 eingestuft und als PHP2Shell bezeichnet werden. Diese Schwächen ermöglichen es einem Angreifer ohne Authentifizierung, Code auf dem Server auszuführen, und erhielten laut Wiz Research, die sie entdeckt haben, sowie der Warnung von Qualys eine Bewertung von 9,2 im CVSS v4.0.

Das Update kam früher als erwartet. Die Details zu den Schwächen wurden am 20. Oktober bekannt, zusammen mit einer unbestätigten Bewertung von 10,0, und das PHP-Projekt führte die koordinierte Veröffentlichung 24 Stunden früher durch. Laut Amazon Threat Intelligence registrierten die Honeypots des Unternehmens am 17. Oktober einen ersten Versuch der Ausnutzung, also vier Tage vor der öffentlichen Warnung. Amazon beschreibt die Ausnutzung inzwischen als weitreichend.

Größe der exponierten Oberfläche

Wiz gibt an, dass PHP2Shell etwa 70% des Internets erreicht, eine Schätzung, die der Anzahl der von PHP bedienten Websites entspricht. Nach Angaben des Unternehmens haben alle Versionen ab PHP 5.4 mindestens eine der beiden Schwächen, was bedeutet, dass ein Fehler seit mehr als einem Jahrzehnt im Kern der Sprache vorhanden ist.Die Demonstration von Wiz führte ohne Authentifizierung Code gegen Standard-Container-Images von WordPress, Drupal und Joomla aus, ohne dabei Änderungen vorzunehmen.

Das größte Risiko besteht bei Installationen mit mod_php, dem Modul, das den Interpreter in Apache einbettet. In diesem Szenario bestätigte das PHP-Projekt die vollständige Remote-Ausführung über HTTP, mit den Standardgrenzen, bevor irgendeine Zeile des Anwendungscodes ausgeführt wird. Dies umgeht die Schutzmaßnahmen, die das Entwicklungsteam normalerweise kontrolliert, wie Eingangsvalidierung und Authentifizierung.

PHP 8.1 und frühere Versionen erhalten keine Updates vom offiziellen Projekt. Linux-Distributionen veröffentlichen Backports: AlmaLinux berichtete, dass aktualisierte Pakete bereits in den Produktions-Repositorys für alle PHP-Versionen in den Ausgaben 8, 9 und 10 verfügbar sind. Das PHP-Projekt selbst betont, dass ein Update die einzig sichere Option ist, da die verfügbaren Milderungen nur einen Teil der Vektoren schließen.

Ausnutzung vor dem Patch

Der Zeitrahmen ist eine Information, die die Priorität für ein CISO ändert. Öffentliche Proof-of-Concepts tauchten am 21. gegen 2:00 Uhr UTC auf, etwa 12 Stunden vor dem Ende des Embargos, so Amazon. Cloudflare berichtete über Angriffsverkehr gegen die Schwächen, einschließlich Versuchen, deren WAF-Regeln zu umgehen, und Patchstack sagte, dass Berichte über Ausnutzung von Hosting-Partnern eingegangen seien.

Amazon hebt hervor, dass die beobachteten Payloads und die Infrastruktur variieren, was auf verschiedene Akteure hinweist, und dass es noch unklar ist, ob diese Versuche in echten Systemen erfolgreich wären. Die CISA hatte die beiden CVEs bis zur Veröffentlichung der Warnung von SOCRadar nicht in den Katalog der bekannt ausgenutzten Schwachstellen (KEV) aufgenommen. Für regulierte Unternehmen, die KEV als formelles Auslösekriterium für Notfallkorrekturen verwenden, entsteht in diesem Intervall ein Fenster, in dem die internen Fristen noch nicht zu laufen begonnen haben, die Angriffe jedoch bereits gestartet sind.

Es gibt auch Informationen darüber, wie der Fehler gefunden wurde. Wiz und das Sicherheitsunternehmen Calif setzten KI-Modelle zur Entdeckung und Reaktion ein, laut Berichten von Gigazine und anderen vom 22. Diese Tools, die alte Fehler in riesigen Codebasen finden, verkürzen die Zeit zwischen Entdeckung und Ausnutzung für beide Seiten.

Wo PHP2Shell am schwersten wiegt

In den Vereinigten Staaten und Europa konzentriert sich das Risiko auf Unternehmensportale, Intranets und virtuelle Geschäfte, die auf WordPress, Drupal oder Magento auf eigenen Servern betrieben werden, außerhalb der automatischen Korrekturen zentralisierter Anbieter. Sansec, spezialisiert auf E-Commerce, veröffentlichte eine eigene Analyse zu PHP2Shell, ein Zeichen, dass der E-Commerce in die Rechnung der Reaktionsteams eingegangen ist.

In Indien und den Philippinen verwalten große Agenturen und Drittanbietersupport oft Hunderte von Kundenwebsites in einem Shared-Hosting-Modell. Eine veraltete PHP-Version in diesem Modell repliziert die Exposition über alle Kunden hinweg, und die Korrektur hängt von Verträgen und Zugang zum Server ab.

In Brasilien ist PHP häufig auf Websites öffentlicher Behörden, bei mittelständischen Einzelhändlern und in intern entwickelten Legacy-Systemen zu finden, von denen viele noch in Versionen 7.x laufen, die das offizielle Projekt in dieser Runde nicht aktualisiert hat. Für diese Umgebungen bleibt die Option, ein Backport der Distribution durchzuführen oder einen erzwungenen Versionswechsel mit einem Kompatibilitätstest unter Druck zu machen.

Der gemeinsame Standard für alle drei Märkte ist, dass das Inventar vor dem Patch kommt. Die meisten Unternehmen wissen, wie viele Windows-Server sie haben; nur wenige wissen, wie viele PHP-Instanzen auf Marketing-Websites, HR-Tools und externen Abteilungen laufen.