Angriffe mit PHP2Shell haben am 24. Oktober auf drei Honeypot-Servern Shell-Befehle ausgeführt, berichtete der Perplexity-Forscher Adel Karimi. Seine Sensoren verzeichneten 35 Shell-Starts. Das belegt, dass die Angriffe über die Abstürze und Speicherfehler hinausgingen, die bei seiner früheren Beobachtung aufgetreten waren.
Die Erkenntnis hat einen klar begrenzten Geltungsbereich: Karimis Honeypot-Server liefen mit PHP 8.4.26, Apache mod_php und einem einzigen Worker-Prozess. Er beschrieb diese Konfiguration als absichtlich günstig für die Ausnutzung und warnte, dass die Ergebnisse nicht belegen, dass sie sich auf andere PHP-Builds, Anwendungen oder Worker-Anzahlen übertragen lassen.
Die beiden kritischen Schwachstellen, bekannt als PHP2Shell, CVE-2026-109618 und CVE-2026-109619, ermöglichen Remote-Code-Ausführung ohne Authentifizierung. Laut SecurityWeek veröffentlichte PHP die Patches am 21. Oktober, nachdem Informationen über die Schwachstellen online durchgesickert waren. Die Ausnutzungsversuche gingen den Korrekturen voraus, und seitdem wurden Millionen solcher Versuche registriert. Vor Karimis Erkenntnissen hatten Sicherheitsfirmen nicht bestätigt, dass diese Versuche erfolgreich Code ausgeführt hatten, obwohl Forscher bereits Exploits entwickelt hatten, die den ASLR-Schutz umgingen.
Was die Honeypots aufgezeichnet haben
Karimis Server zeigten gewöhnliche, von PHP betriebene Seiten. Während seines ersten Beobachtungszeitraums von gut 26 Stunden zählte er 30 Out-of-Memory-Fehler und 11 Abstürze von Worker-Prozessen, ohne dabei eine Codeausführung festzustellen.
Die Aktivität vom 24. Oktober brachte ein anderes Ergebnis. Datenverkehr von einer IP-Adresse startete drei Shells auf einem Server; eine zweite Adresse war für 32 Shell-Starts verantwortlich, verteilt auf alle drei Honeypots.
Karimi verfolgte die Aktivität über vier Stufen von HTTP-Anfragen: Erschöpfung des Speichers, Offenlegung von Speicherinhalten und schließlich die Ausführung eines Shell-Befehls. Das Anfragemuster ähnele stark einem öffentlich verfügbaren Proof-of-Concept-Exploit und passe zu CVE-2026-109618. Die Beobachtung belegt daher nicht die erfolgreiche Ausnutzung beider PHP2Shell-Schwachstellen.
Karimi stufte die Belege als bestätigte Remote-Code-Ausführung mit verwertbarer Offenlegung des Speichers ein. Ein Download einer Payload der zweiten Stufe wurde nicht beobachtet. Marcus Hutchins, Principal Threat Researcher bei Expel, nannte es die bisher stärkste Bestätigung einer PHP2Shell-Ausnutzung in freier Wildbahn, die er bislang gesehen habe.
Umfang der Gefährdung und Patch-Empfehlungen
Die nachgewiesene Konfiguration ist enger gefasst als der in der CISA-Warnung beschriebene betroffene Bereich. Die Behörde erklärt, dass die Schwachstellen alle PHP-Installationen betreffen, die Webanfragen verarbeiten, darunter Apache mit mod_php, PHP-FPM, php-cgi, FrankenPHP und LiteSpeed. Apache mit mod_php nennt sie als die Konfiguration, die PHP selbst als höchstes Risiko einstuft.
CISA nennt PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 als korrigierte Versionen für die jeweiligen Zweige. Die Behörde drängt auf sofortiges Patchen, wobei Systeme mit Internetanbindung Vorrang haben, sowie auf ein Inventar, das auch PHP erfasst, das in anderer Software enthalten ist.
Organisationen, die nicht sofort aktualisieren können, darunter solche mit dem nicht mehr unterstützten PHP 8.1 oder älteren Versionen, sollten PHP-basierte Systeme laut CISA offline nehmen, bis sie gepatcht oder aktualisiert werden können. Eine Web Application Firewall könne einen gewissen Übergangsschutz bieten, so die Behörde. Zu ihren Überwachungshinweisen gehört, auf PHP-Worker-Prozesse zu achten, die Shells starten oder Tools herunterladen.
Das Warnungsupdate der CISA vom 23. Oktober ergänzte eine Sigma-Erkennungsregel und hielt fest, dass die Behörde zu diesem Zeitpunkt, also vor Karimis Beobachtungen vom 24. Oktober, keine erfolgreiche Ausnutzung beobachtet hatte. SecurityWeek berichtete, dass keine der beiden Schwachstellen bis zum Morgen des 26. Oktober in den Katalog der bekanntermaßen ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA aufgenommen worden war.
