Agentic AI beschleunigt PHP2Shell-Ausnutzung bei globalen Angriffen

Bedrohungsakteure nutzen Plattformen für künstliche Intelligenz mit Agentenfunktion (Agentic AI), um Aktivitäten nach der Kompromittierung zu beschleunigen, nachdem sie kritische PHP-Schwachstellen ausgenutzt haben, die als PHP2Shell bekannt sind. Ende Oktober 2026 beobachteten Sicherheitsforscher diese KI-gestützten Angriffe auf eine europäische Regierungsbehörde. Dies markiert einen signifikanten Wandel in der Geschwindigkeit, mit der Angreifer vom initialen Zugriff zur Rechteausweitung übergehen können.

Was passiert ist

Palo Alto Networks Unit 42 berichtete, dass Angreifer CVE-2026-109618 und CVE-2026-109619 ausnutzten, um initialen Zugriff auf ein Regierungssystem in Europa zu erlangen. Innerhalb von nur zwei Stunden nach dem ersten Einbruch hatten die Angreifer bereits auf Passwort-Hashes und Geheimnisse der Multi-Faktor-Authentifizierung zugegriffen. Sie richteten zudem einen NT LAN Manager Relay-Tunnel in Active Directory ein und versuchten, ihre Privilegien auf Domain Admin-Ebene zu eskalieren. Die Geschwindigkeit und Präzision dieser Aktionen deuteten auf den Einsatz automatisierter, agentischer KI-Tools hin, anstatt auf rein manuelle menschliche Operationen.

Gleichzeitig identifizierte CYFIRMA eine separate Kampagne im Zusammenhang mit dem Lazarus Group Ökosystem, die wahrscheinlich aus Nordkorea stammt. Diese Gruppe nutzte dieselben PHP2Shell-Schwachstellen, um die globale PHP-Infrastruktur von 21 kompromittierten Knotenpunkten aus zu sondieren. Das Scanning war absichtlich mit geringem Datenvolumen durchgeführt und so getaktet, dass es Schwellenwert-basierte Warnsysteme umging. Zu den Zielen gehörten 216 ungepatchte Hosts in mehreren Ländern, darunter Sektoren wie Regierung, Finanzen und Logistik. Die Operatoren koordinierten sich über einen geschlossenen I2P-Kanal und verwendeten Handles, die mit früheren verdeckten Operationen in Verbindung gebracht wurden.

Wie es funktioniert

Die PHP2Shell-Schwachstellen ermöglichen Remote Code Execution in Standard-PHP-Konfigurationen durch die Ausnutzung von Speicherzuweisungsfehlern. Wenn PHP einen Formularfeldnamen parst, erstellt es mehrere Kopien im Speicher. Ein Angreifer构造iert eine Anfrage mit einem Feldnamen, der groß genug ist, um innerhalb des akzeptierten Body-Bereichs zu passen, aber groß genug, um das Speicherlimit während des Kopierens zu überschreiten. Dies erzwingt einen Zuweisungsfehler, während PHP versucht, den Namen in eine Hash-Tabelle zu kopieren, was potenziell zu Heap-Corruption und Code Execution führen kann. Um das Exploit erfolgreich auszuführen, muss auch die Address Space Layout Randomization (ASLR) überwunden werden, um gültige Speicheradressen zu finden.

Bei den KI-gestützten Angriffen war die Phase nach der Kompromittierung durch spezifische Verhaltensindikatoren gekennzeichnet. Die Angreifer gaben Befehle aus, die in Abschnittsheader-Delimiter wie ==SHELLUSER== und ==PASSWD== eingebettet waren. Diese Delimiter erzeugen maschinenlesbare Ausgaben, sodass ein KI-Modell die Ergebnisse lesen und die nächsten Schritte bestimmen kann. Der KI-Agent führte Reconnaissance gegen Authentifizierungsdatenbanken durch, befragte Active Directory über LDAP und suchte nach internen Hosts und privilegierten Gruppen, wodurch die traditionellen manuellen Schritte einer Intrusion automatisiert wurden.

Wichtige Details

• CVE-2026-109618 und CVE-2026-109619 sind kritische Schwachstellen für Remote Code Execution in Standard-PHP-Konfigurationen.
• Agentic AI Tools wurden verwendet, um Befehlsausgaben zu parsen und die Reconnaissance nach der Kompromittierung in weniger als zwei Stunden zu automatisieren.
• Eine vermutete nordkoreanische Kampagne nutzte Scans mit geringem Datenvolumen von 21 Knoten, um weltweit 216 ungepatchte Hosts anzugreifen.
• Die mit Lazarus verbundenen Operatoren koordinierten sich über I2P und verwendeten Vokabular, das spezifisch für das nordkoreanische Munhwaŏ ist.
• Bitsight schätzt, dass nahezu 37 Millionen internet-exponierte Systeme PHP ausführen, mit erheblicher Exposition in den USA und Europa.
• Eine dritte Schwachstelle, CVE-2026-115560, betrifft Anwendungen, die Session-Serialize-Handler zur Laufzeit ändern.

Warum es wichtig ist

Für Software-Ingenieure und IT-Leiter unterstreicht dieser Vorfall die doppelte Bedrohung durch kritische Laufzeit-Schwachstellen und KI-beschleunigte Angriffsketten. Die PHP2Shell-Schwachstellen können nicht durch Änderungen am Anwendungscode oder Regeln für Web Application Firewalls behoben werden; sie erfordern ein Update der PHP-Laufzeitumgebung auf dem Host selbst. Bei Millionen exponierter Systemen ist das Zeitfenster für das Patching eng, und die Folgen von Verzögerungen sind schwerwiegend, wie der rasche Kompromittierungsvorgang der Regierungsbehörde zeigt.

Der Einsatz von Agentic AI verändert die defensive Kalkulation. Traditionelle Erkennungsmethoden, die darauf basieren, manuelles Hacker-Verhalten zu erkennen, könnten gegenüber KI-Agenten versagen, die strukturierte, maschinenlesbare Ausgaben generieren und autonome Entscheidungen treffen. Sicherheitsteams müssen nun darüber nachdenken, wie sie nicht nur bekannte Exploit-Signaturen erkennen, sondern auch die Verhaltensmuster automatisierter Agenten, wie die Verwendung spezifischer Delimiter und schneller, sequenzieller Reconnaissance-Befehle. Dies verschiebt den Fokus von der Perimeter-Verteidigung hin zu tieferer Laufzeitüberwachung und Anomalieerkennung.

Was Sie tun können

• Aktualisieren Sie PHP auf allen Hosts sofort auf die neueste Version, um CVE-2026-109618 und CVE-2026-109619 zu patchen.
• Überwachen Sie Logs auf die spezifische Sequenz eines POST-Requests, der einen 500-Fehler zurückgibt, gefolgt von PHP-Speichererschöpfung und Apache-Worker-Crashes.
• Suchen Sie nach dem Vorhandensein von Abschnittsheader-Delimitern wie ==SHELLUSER== in Befehlsausgaben, um KI-gestützte Aktivität zu erkennen.
• Überprüfen Sie die Session-Konfiguration, um sicherzustellen, dass session.serialize_handler nicht zur Laufzeit gewechselt wird, wenn dies nicht erforderlich ist, um CVE-2026-115560 zu mitigieren.
• Implementieren Sie Rate-Limiting und Verhaltensanalyse, um Low-and-Slow-Scanning-Kampagnen zu erfassen, die Knoten rotieren.
• Verwenden Sie Tools wie den Scanner von Xint, um Ihre Infrastruktur auf Exponierung gegenüber PHP2Shell zu überprüfen.