PHP2Shell-Versuche nehmen stark zu, während zuverlässige RCE weiterhin ausbleibt
PHP2Shell-Exploit-Versuche haben Millionen von Requests erreicht, doch mehrere Sicherheitsunternehmen geben an, bislang keine zuverlässige remote code execution in freier Wildbahn beobachtet zu haben. Die beiden zugrunde liegenden Schwachstellen CVE-2026-109618 und CVE-2026-109619 haben jeweils einen CVSS-Schweregrad von 9,2 und können es einem nicht authentifizierten Angreifer ermöglichen, durch speziell konstruierte Web-Requests Code auszuführen. PHP hat sie in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 behoben.
Sophos untersuchte erfolglose Versuche, die Schwachstellen zur Installation von Potassium zu verwenden, einer erweiterten Variante der Mirai-Malware-Familie. Das Sample kann zusätzliche Software herunterladen und Distributed-denial-of-service-Angriffe ausführen, die üblicherweise als DDoS-Angriffe bezeichnet werden und ein Ziel mit Traffic überlasten. Es entschlüsselt eine integrierte command-and-control-Adresse, stellt eine Verbindung zu 134.199.154[.]64 her und prüft, ob der heruntergeladene Payload eine Linux-ELF-Programmdatei ist. Sein resolver kann die öffentlichen DNS-Dienste unter 8.8.8.8, 1.1.1.1 und 1.0.0.1 verwenden, wenn seine anderen Auflösungsmethoden fehlschlagen.
Sophos führte die Versuche auf 85.11.167[.]243, 217.60.242[.]76 und 45.198.224[.]169 zurück. Diese Systeme kontaktierten 92.118.112[.]100, um einen Loader abzurufen, der das Botnet-Sample installierte. In einer isolierten Testumgebung fragte die Malware thunder.godofthunder[.]st ab, erreichte 134.199.154[.]64 und öffnete über TCP-Port 50792 einen Kontrollkanal. Ihr konfiguriertes Ziel waren anhaltende Traffic-Floods gegen 45.88.138[.]0 und 45.88.138[.]44, zwei benachbarte Hosts in einem ukrainischen Netzwerk. Sophos erklärte, das Ausbleiben erfolgreicher PHP2Shell-Angriffe deute darauf hin, dass Angreifer Schwierigkeiten hätten, zuverlässige Exploits zu entwickeln.
Potassium wurde erstmals im März 2026 von der Botnet-Tracking-Plattform Synthient identifiziert. Nokia Deepfield beschrieb es anschließend als einen Mirai-Fork, der ChaCha20-Verschlüsselung für seine gespeicherte Konfiguration, das Byte 0xED für die Netzwerkkommunikation und ein reverse-shell-Protokoll namens SHELL / SHOUT auf demselben Kanal wie die Angriffsanweisungen verwendet. Außerdem ordnet es die beiden Hälften aufgelöster IPv4-Adressen vor dem Verbindungsaufbau neu an. Arctic Wolf fand 24 Commands, die Floods über ICMP, TCP, UDP und OpenVPN unterstützen. ARM- und x86-Builds enthielten eine inaktive Option, um die Kontrollinfrastruktur über Ethereum Name Service oder ENS aufzulösen. Arctic Wolf warnte, dass eine Aktivierung die Abwehr erschweren könnte, weil die Verteidiger dann zusätzlich ENS-Namen und die zugehörige Infrastruktur blockieren müssten.
Separate Untersuchungen veranschaulichen, wie Angreifer versuchen, PHP2Shell praktisch nutzbar zu machen. SOCRadar fand auf einem frei zugänglichen Server unter 206.188.197[.]105:9999 Exploit-Tools für PHP 8.4.26. Das zentrale Python-Programm wurde von seinem Betreiber als One-Click-Exploit für Apache mod_php präsentiert. Es versucht, einen PHP worker process wiederzuverwenden, über ein session cookie Speicheradressen offenzulegen und die Verarbeitung des Upload-Fortschritts von PHP-Sessions zu missbrauchen, um einen shell command auszuführen. Die Offenlegung der Adressen soll Address Space Layout Randomization oder ASLR umgehen, einen Schutzmechanismus, der Programme und Systemkomponenten an unvorhersehbare Speicherorte verschiebt.
Drei zugehörige Scripts erstellten Profile von rund 20 öffentlich erreichbaren Websites. Eines erfasste PHP-Versionen und Serverkonfigurationen, ein weiteres untersuchte elf Websites auf offengelegte Fehler, phpinfo-Seiten, file inclusion und session injection, und ein drittes ermittelte Benutzer und Plugins auf fünf WordPress-Websites. Mit Stand vom 22. Oktober 2026 fand SOCRadar keine Hinweise darauf, dass eine der untersuchten Websites shell access ermöglicht hatte. Das umfassendere Toolset extrahierte außerdem API keys und Backend-Adressen aus an Browser ausgeliefertem JavaScript, durchsuchte Websites und application programming interface-Routen nach Zugriffsmöglichkeiten ohne Authentifizierung, wechselte Proxies zur Verteilung der Requests, untersuchte Webarchive und automatisierte die CAPTCHA-Lösung. SOCRadar bewertete den Betreiber als finanziell motiviert und auf Ziele aus den Bereichen Kryptowährungen und Web3 konzentriert.
Hunt.io brachte denselben Exploitation-Server mit Angriffen auf 123 Systeme in Cloud-, Shared-Hosting- und Internet-Service-Provider-Netzwerken in Verbindung. Rund 57 davon führten PHP aus, darunter viele mit nicht mehr unterstützten branches von PHP 5.x bis 7.x. Zehn Systeme lehnten die Requests ab, darunter drei der fünf durch Cloudflare geschützten Systeme, und Hunt.io stellte fest, dass keines ausgenutzt worden war. Das Unternehmen identifizierte außerdem PHP2Shell-Tools, die über zehn open directories auf mehreren Servern verbreitet wurden.
Untersuchungen von VulnCheck zeigen dennoch, dass sich die Hürde für eine erfolgreiche Exploitation überwinden lässt. Das Team entwickelte eine Exploit-Chain, die beide Schwachstellen kombiniert und eine memory disclosure nutzt, um ASLR zu umgehen und remote code execution auf x86-64-Systemen mit der von PHP empfohlenen Konfiguration zur Fehleranzeige in Produktionsumgebungen zu erreichen. VulnCheck erklärte, keinen anderen öffentlichen oder kommerziellen Exploit gefunden zu haben, der unter denselben Bedingungen funktioniert. Eine erfolgreiche Exploitation würde Code mit den Berechtigungen der Webanwendung ausführen und könnte dadurch API keys, Datenbankverbindungen und interne Dienste offenlegen, die für die Anwendung erreichbar sind. Root- oder Administratorrechte wären nicht erforderlich, damit ein Angreifer einen nützlichen foothold errichtet.
Die internetweiten Aktivitäten nahmen nach der Offenlegung schnell zu. Cloudflare registrierte innerhalb von 45 Minuten Zehntausende Versuche, innerhalb von zwei Stunden Hunderttausende und bis zum frühen 22. Oktober 2026 Millionen. Cisco Talos stufte den Großteil des beobachteten Traffics als Scanning und unkoordinierte Payload-Auslieferung ein. Previdian registrierte Hunderte Versuche gegen CVE-2026-109618 von Dutzenden Adressen und weniger Aktivitäten gegen CVE-2026-109619; das erste Ereignis im Zusammenhang mit der erstgenannten Schwachstelle trat am 21. Oktober um 13:05 Uhr UTC auf. Die honeypots von Previdian zeigten weder eine erfolgreiche Codeausführung noch hochgeladene PHP-Dateien. Beelzebub, Dataminr und Wordfence meldeten ebenfalls Scanning, Fingerprinting sowie Versuche, die Command-Ausführung zu testen, Secrets aus Umgebungsvariablen zu sammeln, Persistence einzurichten oder einen weiteren Payload herunterzuladen, jedoch keine bestätigten Kompromittierungen.
Einige Websites von Behörden, Schulen und Krankenhäusern in Asien, Europa und Nordamerika wurden vorsorglich offline genommen, während Updates und Mitigations angewendet wurden. Die britische Regierung bestätigte 32 nicht verfügbare digitale Dienste und vier teilweise nicht verfügbare Dienste, hauptsächlich aufgrund vorsorglicher Abschaltungen, während das National Cyber Security Centre rund 50.000 Warnungen herausgab. Diese Ausfälle waren Schutzmaßnahmen und sind kein Beleg dafür, dass die betroffenen Dienste erfolgreich ausgenutzt wurden.
Sysdig wies darauf hin, dass der anfällige Engine-Code aus PHP 5.4 von 2012 stammt. Da das Problem in PHP selbst und nicht im Anwendungscode von WordPress, Drupal oder Joomla liegt, kann eine Website weiterhin gefährdet sein, selbst wenn ihr CMS und ihre Erweiterungen ansonsten sauber sind. VirusTotal schätzte, dass rund 272.000 Hosts einen unterstützten PHP branch von 8.2 bis 8.5 ausführen. Websites mit PHP 7.4, 8.0 oder 8.1 sollten auf einen unterstützten branch wechseln oder einen von der Distribution bereitgestellten backport beziehen. Censys erkannte mehr als 3,08 Millionen Hosts und 56,6 Millionen Webpräsenzen, die PHP verwenden; am 23. Oktober 2026 wurden mehr als 34,4 Millionen PHP-Dienste als anfällig eingestuft.