Die PHP-Sicherheitsupdates vom 21. Oktober bleiben der einzige Fix für PHP2Shell, ein Paar Schwachstellen, die einem nicht authentifizierten Angreifer die Übernahme eines verwundbaren Servers ermöglichen können. Die Patches schützen einen Server erst, nachdem der Betreiber sie installiert und PHP neu gestartet hat.

Cloudflare-CEO Matthew Prince sagte, dass Exploit-Versuche im Netzwerk des Unternehmens von Tausenden auf Millionen stiegen. Deutschlands Bundesamt für Sicherheit in der Informationstechnik (BSI) und die japanische Regierung erklärten, sie hätten keine erfolgreichen Eindringlinge bestätigt. Die PHP Foundation, die die Arbeit an PHP selbst finanziert, erklärte, sie habe bereits 2024 erste Anzeichen einer der Schwachstellen identifiziert, und bezeichnete die Verzögerung bei der Behebung als „ein strukturelles Versagen“.

Diese Entwicklungen kamen einen Tag, nachdem die beiden PHP-Schwachstellen Regierungen und Organisationen dazu veranlasst hatten, Websites vom Netz zu nehmen. Die dringendste Frage für Internetnutzer ist, ob normales Surfen sicher ist. Die kurze Antwort: Das Internet selbst ist nicht ausgefallen, und die meisten Nutzer sind eher über die von ihnen besuchten Websites gefährdet als über ihre eigenen Geräte. Dennoch müssen viele Server noch gepatcht werden.

PHP, eine Open-Source-Serversprache, läuft im Hintergrund auf rund 70 % der Websites, deren serverseitige Programmiersprache bekannt ist. Diese Reichweite ist der Grund, warum eine Schwachstelle in PHP selbst zu einem webweiten Patch-Ereignis wird statt zum Problem eines einzelnen Unternehmens. Die beiden Schwachstellen, gemeinsam als PHP2Shell bekannt, können einem Fremden ermöglichen, ohne Anmeldung die Kontrolle über einen verwundbaren Server zu übernehmen.

Ist PHP2Shell behoben?

PHP veröffentlichte am 21. Oktober die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35, wie aus den Release-Notes hervorgeht. Dort heißt es: „Es gibt keine vollständigen Gegenmaßnahmen, ein Update ist die einzige sichere Wahl.“ Stand 22. Oktober hatte PHP keinen Nachfolge-Patch veröffentlicht.

Die Verfügbarkeit eines Patches bedeutet nicht, dass jede betroffene Website geschützt ist. PHP aktualisiert sich nicht selbst, daher müssen Hosting-Unternehmen, IT-Abteilungen und einzelne Website-Betreiber die entsprechende Version auf ihren Servern installieren und die Software neu starten, damit die Änderung wirksam wird. In der Praxis verbreitet sich der Schutz im Tempo der Serverwartung und nicht im Moment der Veröffentlichung; wie viele Server weiterhin angreifbar sind, hängt davon ab, wie schnell die Betreiber diese Rollouts abschließen.

PHP 8.1 und älter erhalten keine offiziellen Releases mehr, was ältere Server zu einer besonderen Schwachstelle macht. PHPs Sicherheitsteam hat jedoch einfache Patches für Versionen 7.4, 8.0 und 8.1 veröffentlicht, für Nutzer, die die Software selbst kompilieren.

Wurden Server kompromittiert?

Angreifer begannen schnell, nach verwundbaren Systemen zu suchen. Prince sagte, Cloudflare habe in den 10 Stunden vor der öffentlichen Ankündigung Tausende Exploit-Versuche beobachtet, in den folgenden 45 Minuten Zehntausende, innerhalb von zwei Stunden Hunderttausende und danach Millionen.

https://x.com/eastdakota/status/2113079352682570051?ref_src=twsrc%5Etfw

Amazon erklärte, seine Köderserver hätten am 17. Oktober – vier Tage vor der öffentlichen Offenlegung der Schwachstellen – einen Versuch registriert. Amazon-CISO CJ Moses schrieb, dass „unklar bleibt, wie der Akteur vor der Offenlegung an Exploit-Informationen gelangt ist“, und sagte, PHP2Shell werde „jetzt breit in freier Wildbahn ausgenutzt“.

In einem Sicherheits-Blogbeitrag erklärte Amazon, die Aktivität sei vor der öffentlichen Offenlegung beobachtet worden.

Regierungen hatten zu diesem Zeitpunkt jedoch keine bestätigten erfolgreichen Eindringlinge gemeldet. Thomas Caspers, Vizepräsident des BSI, sagte, die Behörde habe Angriffe beobachtet, aber keine erfolgreiche Ausnutzung der Schwachstellen. Er ergänzte: „Die Ausnutzung scheint etwas komplizierter zu sein als erwartet.“ Japans Chefkabinettsekretär Minoru Kihara sagte ebenfalls, keine Angriffe, die die Schwachstellen ausnutzen, seien bestätigt worden.

Ein Exploit-Versuch und eine erfolgreiche Kompromittierung sind unterschiedliche Ereignisse. Millionen von Versuchen können stattfinden, ohne dass ein bestätigter Einbruch identifiziert wurde, und erfolgreiche Eindringlinge werden oft erst nachträglich entdeckt. Für Leser bedeutet das, dass Updates zu bestätigten Angriffen, falls es welche gibt, durch spätere Untersuchungen und offizielle Mitteilungen erfolgen würden und nicht in Echtzeit.

Warum wurde das Problem nicht früher behoben?

Die PHP Foundation erklärte, ihre Sicherheitsarbeit im Jahr 2024 habe „die ersten Anzeichen des OOM-Problems hinter CVE-2026-109618“ gefunden – gemeint ist der Out-of-Memory-Fehler im Zentrum einer der beiden Schwachstellen.

Laut der Darstellung der Foundation zum Security-Release entwickelte das Team „mehrere konkurrierende Ansätze“, hatte jedoch „Mühe, sich zwischen diesen zu entscheiden, und fürchtete die Folgen einer falschen Wahl“. Die Foundation sagte, ihre Finanzierung habe es ermöglicht, dass mehrere Personen das Problem in Vollzeit bearbeiteten.

„Wir werden so tun, als wäre es anders: Nein, die Verzögerung war ein strukturelles Versagen, verursacht sowohl durch den Entscheidungsprozess des Sicherheitsteams als auch durch dessen Ressourcenmangel“, schrieb die Foundation. Das Sicherheitsteam habe bisher Konsens benötigt, werde nun aber per Mehrheitsentscheid entscheiden.

Die Foundation fügte hinzu, dass die Sicherheitsarbeit an der Software, die einen Großteil des Webs betreibt, „weiterhin von einer kleinen Gruppe von Foundation-finanzierten Entwicklern und etwas ehrenamtlicher Hilfe abhängt“.

Warum gingen manche Websites offline?

Patchen dauert, und Organisationen, die den Fix nicht sofort einspielen konnten, wurde geraten, Systeme offline zu nehmen. Das britische National Cyber Security Centre empfahl Organisationen in seiner Anleitung, zu erwägen, „das System offline zu nehmen, bis es vollständig abgemildert werden kann“n
Laut TechRadar gehörten zu den am 21. Oktober betroffenen Websites und Diensten Wikimedia-Dienste, Orange-Websites und -Apps in Dutzenden Ländern, 32 britische Regierungsdienste, niederländische Krankenhäuser und der deutsche IT-Dienstleister des Bundes, ITZBund.

Die Website des UK Office for Budget Responsibility und die Website des Edinburgher Stadtrats waren bis zum 22. Oktober wieder online. Andere Dienste, darunter die niederländische anonyme Kriminalitätsmeldestelle Meld Misdaad Anoniem, waren am Donnerstagmorgen laut DutchNews weiterhin offline.

Sollten Nutzer ihre Passwörter ändern?

Nicht allein wegen PHP2Shell, zumindest nach der aktuellen Informationslage. Es gab keine bestätigten Datenlecks im Zusammenhang mit den Schwachstellen, und das Ändern aller Passwörter würde eine Website nicht schützen, deren Server weiterhin ungepatcht ist.

Die üblichen Sicherheitsmaßnahmen bleiben sinnvoll: ein einzigartiges Passwort für jedes Konto verwenden, die Zwei-Faktor-Authentifizierung aktivieren und in den kommenden Wochen auf Hinweise von Unternehmen zu möglichen Datenlecks achten. Bestätigt ein Unternehmen ein Datenleck, sollten Nutzer das betroffene Passwort und jedes wiederverwendete Passwort ändern.

Website-Betreiber haben zusätzliche Arbeit, denn ein Patch schließt die Schwachstelle, zeigt aber nicht, ob ein Angreifer zuvor Zugriff auf den Server hatte. Das Sicherheitsunternehmen Tag1 rät, nach PHP-Dateien zu suchen, die man nicht selbst hochgeladen hat, nach neuen geplanten Aufgaben und neuen Konten, und auf jedem internetzugänglichen Server, auf dem eine verwundbare Version lief, die Datenbank-Passwörter und API-Schlüssel zu rotieren. Tag1s Anleitung ist hier verfügbar.

Was bedeutet PHP2Shell für Krypto-Nutzer?

Binance-Gründer Changpeng Zhao warnte Nutzer auf X: „Call me paranoid, but be extra careful visiting ANY web site in the next few days.“

https://x.com/cz_binance/status/2113029289155178716

Ein kompromittierter Webserver kann eine gefälschte Version einer legitimen Website anzeigen. Im Krypto-Bereich könnte eine solche Seite einen Nutzer auffordern, eine Wallet zu verbinden und eine Transaktion zu genehmigen, die sie leert. Ein Blockchain-Netzwerk selbst kann unbeeinträchtigt bleiben, während die Websites, die Zugang dazu bieten, kompromittiert sind.

Nutzer sollten sorgfältig prüfen, was sie signieren, verwendete Websites als Lesezeichen speichern statt Links zu folgen, und wenn möglich eine Hardware-Wallet verwenden. Bis zum 22. Oktober hatte keine Krypto-Börse öffentlich einen mit PHP2Shell in Verbindung stehenden Angriff gemeldet.

Ist Surfen sicher?

Das Surfen im Web war im Wesentlichen so sicher wie in der Woche zuvor, wobei keine Internetaktivität völlig risikofrei ist. Die Hauptgefährdung lag auf Servern, die nicht gepatcht waren. Das Sicherheitsunternehmen Mallory zählte rund 884.000 internetzugängliche Hosts, auf denen PHP-Versionen laufen, die keine offiziellen Fixes mehr erhalten.

Amazon appellierte an Verteidiger, nicht anzunehmen, dass das Datum der öffentlichen Offenlegung der früheste Zeitpunkt der Ausnutzung sei. „Verteidiger sollten nicht davon ausgehen, dass das Datum der öffentlichen Offenlegung der früheste Zeitpunkt der Ausnutzung ist“, erklärte das Unternehmen. Jeder Server, der seit mindestens dem 17. Oktober eine verwundbare PHP-Version betrieben hatte, sollte untersucht werden, nicht nur gepatcht werden.

Originalquelle: Decrypt