PHP2Shell: Angriffe begannen vier Tage vor Veröffentlichung der Patches

Security · 22.10.2026

Amazon Threat Intelligence warnt vor aktiven Angriffen auf PHP2Shell-Schwachstellen, die bereits vor der Bereitstellung der Sicherheitsupdates begannen.

Sicherheitsforscher von Amazon Threat Intelligence haben beobachtet, dass Angreifer bereits vier Tage vor der Veröffentlichung der offiziellen Sicherheitspatches aktiv Schwachstellen ausgenutzt haben, die als PHP2Shell bekannt sind. Diese Zero-Day-Kampagne zielte darauf ab, verwundbare PHP-Installationen zu kompromittieren, noch bevor Administratoren die Möglichkeit hatten, schützende Updates einzuspielen. Die Erkenntnisse verdeutlichen das anhaltend hohe Risiko für öffentlich erreichbare Webserver-Infrastrukturen.

Warum ist das wichtig?

In der DACH-Region setzen zahlreiche Unternehmen, von kleinen Betrieben bis hin zu Großkonzernen, auf PHP-basierte Webanwendungen und Content-Management-Systeme. Da die Angriffe bereits vor dem offiziellen Patchday begannen, konnten traditionelle, signaturbasierte Schutzmaßnahmen diese Bedrohung oft nicht rechtzeitig erkennen. Ein erfolgreicher PHP2Shell-Angriff erlaubt es Cyberkriminellen, Schadcode direkt auf dem Server auszuführen, was häufig der erste Schritt für Ransomware-Angriffe, Datendiebstahl oder die Integration des Servers in ein Botnetz ist. Für IT-Verantwortliche bedeutet dies, dass eine bloße Aktualisierung im Nachgang eventuell nicht ausreicht, um bereits erfolgte Kompromittierungen aufzudecken.

Was Nutzer jetzt tun sollten

Administratoren und IT-Sicherheitsverantwortliche müssen umgehend handeln, um ihre Systeme abzusichern und potenzielle Einbrüche zu identifizieren. Folgende Schritte werden dringend empfohlen:

• Patches umgehend installieren: Prüfen Sie Ihre PHP-Umgebungen und spielen Sie die neuesten Sicherheitsupdates des Herstellers unverzüglich ein.
• Logdateien auswerten: Analysieren Sie die Webserver- und Anwendungslogs rückwirkend auf verdächtige Aktivitäten, insbesondere im Zeitraum von mindestens einer Woche vor dem Patchday. Achten Sie auf ungewöhnliche POST-Anfragen oder unerwartete Shell-Aufrufe.
• Web Application Firewall (WAF) anpassen: Stellen Sie sicher, dass Ihre WAF-Regeln auf dem neuesten Stand sind, um bekannte Exploit-Muster für PHP2Shell proaktiv zu blockieren.
• Rechtevergabe minimieren: Der PHP-Prozess sollte nur mit den minimal notwendigen Systemrechten ausgeführt werden, um die Eskalation von Privilegien im Falle einer Kompromittierung zu erschweren.

Fazit

Die vorzeitige Ausnutzung der PHP2Shell-Schwachstellen zeigt, dass die Zeitspanne zwischen der Entdeckung einer Lücke durch Angreifer und der Bereitstellung von Patches kritisch bleibt. Ein proaktives Sicherheitskonzept, das neben schnellem Patch-Management auch tiefgehende Log-Analysen und restriktive Rechtevergaben umfasst, ist für den Schutz moderner Web-Infrastrukturen unerlässlich.

Quelle: BleepingComputer