CISA bestätigt aktive Ausnutzung kritischer PHP2Shell-Schwachstellen

Die US-Behörde Cybersecurity and Infrastructure Security Agency (CISA) bestätigte am Montag, dass Angreifer zwei kritische Schwachstellen in PHP aktiv ausnutzen. Diese unter dem Namen PHP2Shell bekannten Sicherheitslücken ermöglichen die Remote-Code-Ausführung ohne Authentifizierung und wurden in den Known Exploited Vulnerabilities (KEV)-Katalog der Behörde aufgenommen. Dies signalisiert einen dringenden Handlungsbedarf für die Behebung im gesamten globalen Web-Infrastruktur-Bereich.

Was passiert ist

Die beiden Schwachstellen, identifiziert als CVE-2026-109618 und CVE-2026-109619, tragen beide eine Schweregradbewertung von 9,2 im Common Vulnerability Scoring System (CVSS). Bei CVE-2026-109618 handelt es sich um ein Problem mit Speicherüberlauf bei unzureichendem Speicher (Out-of-Memory-Corruption), während CVE-2026-109619 fehlerhafte Handhabung veralteter interner Anfragezustände betrifft. Beide ermöglichen es Angreifern, beliebigen Code auf betroffenen Servern auszuführen, ohne dass zuvor eine Authentifizierung erforderlich ist.

Die Bestätigung der aktiven Ausnutzung folgt auf Beweise, die von Adel Karimi, Lead für Erkennung und Reaktion bei Perplexity, gesammelt wurden. Am 24. Oktober 2026 beobachtete Karimi erfolgreiche Versuche zur Remote-Code-Ausführung gegen Honeypot-Systeme. Die Angriffe verursachten nicht nur Abstürze; sie führten zu verwertbaren Offenlegungen von Speicherinhalten. Karimi stellte fest, dass die Exploit-Kette einen dekodierten Cookie-Dump von 800 KiB lieferte, wobei Funktionsadressen, die aus diesem Dump abgeleitet wurden, in nachfolgenden Ausführungsnutzlasten erschienen. Dieser Nachweis demonstrierte die Angriffskette spezifisch auf einem Single-Worker-mod_php-Profil, obwohl die Zuverlässigkeit je nach Konfiguration variieren kann.

Als Reaktion auf diese Bedrohungen veröffentlichte das PHP-Entwicklungsteam am 21. Oktober 2026 gepatchte Versionen. Bundesbehörden wurde bis zum 29. Oktober 2026 Zeit gegeben, diese Korrekturen anzuwenden. Das Ausmaß der Exposition bleibt jedoch enorm. PHP betreibt etwa 70 % aller Websites, und Schätzungen von Censys deuten darauf hin, dass mehr als 32,51 Millionen PHP-Dienste weiterhin anfällige Versionen ausführen.

Wie es funktioniert

Diese Schwachstellen nutzen tiefgreifende Probleme in der Art und Weise aus, wie PHP Speicher und Anfragezustände verwaltet. CVE-2026-109618 nutzt Out-of-Memory-Corruption aus, einen Zustand, in dem die Software Fehler bei der Speicherallokation nicht korrekt behandelt, was es einem Angreifer ermöglicht, angrenzende Speicherorte zu überschreiben. CVE-2026-109619 nutzt veraltete interne Daten zum Anfragezustand aus, bei denen Restdaten aus vorherigen Anfragen unsachgemäß behandelt werden, was ein Fenster für Injection oder Ausführung öffnet.

Der Ausnutzungsprozess umfasst das Senden präparierter Anfragen, die diese Fehler im Speichermanagement auslösen. Sobald die Speicherbeschädigung oder Zustandsverwirrung auftritt, kann der Angreifer schädlichen Code in den Ausführungsablauf des Servers einschleusen. In den beobachteten Fällen führte dies zum Dumping sensibler Daten wie Cookies und zur Ableitung von Funktionsadressen, die dann verwendet werden, um den Exploit zu stabilisieren und persistenten Zugriff aufrechtzuerhalten. Diese Technik umgeht Standard-Authentifizierungsmechanismen vollständig und gewährt dem Angreifer die volle Kontrolle über den kompromittierten Server.

Wichtige Details

• Schwachstellen-IDs: CVE-2026-109618 (Out-of-Memory-Corruption) und CVE-2026-109619 (veralteter interner Anfragezustand).
• Schweregrad: Beide Schwachstellen sind auf der CVSS-Skala mit 9,2 bewertet, was ein kritisches Risiko darstellt.
• Gepatchte Versionen: Korrekturen sind in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 verfügbar, veröffentlicht am 21. Oktober 2026.
• Aktive Ausnutzung: Bestätigt durch den Perplexity-Forscher Adel Karimi am 24. Oktober 2026 via Honeypot-Analyse.
• Exposition: Es wird geschätzt, dass über 32,51 Millionen PHP-Dienste betroffene Versionen ausführen.
• Zusätzliches Risiko: Windows-Builds sind ebenfalls von CVE-2026-111497 betroffen, einer Schwachstelle im Brotli-Decoder, die in aktuellen Updates behoben wurde.

Warum das wichtig ist

Für Software-Ingenieure und IT-Leiter bedeutet die weite Verbreitung von PHP, dass ein erheblicher Teil der Backend-Infrastruktur des Internets derzeit gefährdet ist. Die Aufnahme dieser Schwachstellen in den CISA-KEV-Katalog ist ein starkes Indiz dafür, dass Bundesbehörden und große Unternehmen das Patching priorisieren werden, aber die schiere Anzahl exponierter Dienste deutet darauf hin, dass viele kleinere Organisationen und Legacy-Systeme verwundbar bleiben. Die Fähigkeit, Code ohne Authentifizierung auszuführen, macht diese Schwachstellen besonders gefährlich, da sie keine gestohlenen Zugangsdaten oder Social Engineering erfordern, um einen Angriff einzuleiten.

Die technische Natur des Exploits, die Speicherbeschädigung und Zustandsmanagement umfasst, hebt die Komplexität der Absicherung serverseitiger Skriptsprachen hervor. Es unterstreicht auch die Bedeutung, Laufzeitumgebungen aktuell zu halten. Mit Anbietern wie WordPress, Drupal, Cisco und IBM, die Warnhinweise herausgeben, erstreckt sich der Ripple-Effekt über reine PHP-Installationen hinaus auf jedes Produkt oder jeden Dienst, der PHP einbettet oder davon abhängt. Ein Versäumnis beim Patching könnte zu einer vollständigen Kompromittierung des Servers, Datendiebstahl und potenzieller lateraler Bewegung innerhalb von Unternehmensnetzwerken führen.

Was Sie tun können

• PHP sofort aktualisieren: Wechseln Sie zu PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35, wenn Sie eine ältere Version verwenden.
• Windows-Builds prüfen: Wenn Sie PHP auf Windows nutzen, stellen Sie sicher, dass Sie die aktualisierten Builds installiert haben (z. B. 8.5.12-1), um die Schwachstelle im Brotli-Decoder CVE-2026-111497 zu beheben.
• Abhängigkeiten auditieren: Überprüfen Sie alle Drittanbieteranwendungen oder CMS-Plattformen (wie WordPress oder Drupal), um sicherzustellen, dass sie mit den gepatchten PHP-Versionen kompatibel sind, und aktualisieren Sie sie entsprechend.
• Logs überwachen: Achten Sie auf Anzeichen ungewöhnlicher Speichernutzung, unerwarteter Prozessstarts oder großer Datenexporte, die auf einen laufenden Ausnutzungsversuch hindeuten könnten.
• Unnötige Funktionen deaktivieren: Deaktivieren Sie, wenn möglich, die automatische HTTP-Antwortdekompromission in cURL-Erweiterungen, da dies das Risiko im Zusammenhang mit der Brotli-Schwachstelle auf Windows mindern kann.
• Anbieter-Patches anwenden: Prüfen Sie Sicherheitshinweise von Hardware- und Softwareanbietern, die in der globalen Antwort aufgeführt sind, wie F5, Citrix und Siemens, und wenden Sie deren empfohlene Korrekturen an.