Angreifer versuchen, anfällige PHP-Server in „Potassium“ einzugliedern, ein Mirai-abstammendes Botnet für verteilte Denial-of-Service-Angriffe (DDoS) – doch bislang hat die Kampagne Schwierigkeiten, Fuß zu fassen. Mirais Quellcode wurde 2016 veröffentlicht, und von dieser Sch Creature abstammende Botnetze haben einige der größten DDoS-Kampagnen der Geschichte vorangetrieben. The Hacker News berichtete am 23. Oktober, dass keine Server-Kompromittierungen bestätigt wurden, obwohl die Zahl der Exploit-Versuche in die Hunderttausende ging.

Die angegriffenen Schwachstellen

Die Kampagne dreht sich um zwei PHP-Schwachstellen, CVE-2026-109618 und CVE-2026-109619, die beide einen Schweregrad von 9,2 von 10 erhielten – ein Wert, der klar im kritischen Bereich der CVSS-Skala liegt – und die beide eine nicht authentifizierte Remote-Code-Ausführung ermöglichen, was bedeutet, dass ein Angreifer keine Zugangsdaten benötigt, um Befehle auf einem anfälligen Server auszuführen. PHP veröffentlichte die Patches am 21. Oktober, doch zu diesem Zeitpunkt hatten Hacker bereits begonnen, die Schwachstellen anzugreifen.

Millionen von Sondierungen, null bestätigte Einbrüche

Die Zahlen zeigen dennoch, wie umfangreich Angreifer sondieren. Imperva verzeichnete innerhalb von 24 Stunden 482.342 Anfrageversuche in 122.311 Sitzungen gegen 21.998 Websites in 103 Ländern. Gleichzeitig meldete Censys die Erkennung von mehr als 41 Millionen internetexponierten PHP-Diensten mit betroffenen Versionen, während zum Stand vom 22. Oktober nur etwa 1 Million Instanzen mit gepatchten Versionen der Software liefen – die überwältigende Mehrheit der exponierten Server war also noch einen vollen Tag nach Veröffentlichung der Patches ohne Fix. Zählungen von Scanning-Aktivitäten oder Exposition reichen nicht aus, um eine tatsächliche Kompromittierung nachzuweisen.

Was Sophos sah – und dann zurücknahm

Arctic Wolf berichtet, dass Versuche der Befehlsausführung und Malware-Downloads Potassium zugeschrieben wurden. Eine separate Sandbox-Analyse deckte eine weitere Probe auf, die über die IP 134.199.154[.]64 auf TCP-Port 50792 thunder.godofthunder[.]st kontaktierte und zwei ukrainische Hosts angriff. Das zeigte Potenzial der Malware, aber nicht, dass Angreifer Produktivserver kompromittiert haben. Am 22. Oktober zog Sophos eine frühere Erfolgsmeldung zurück und teilte The Record mit, man habe nur erfolglose Angriffsversuche beobachtet.

24 Flood-Befehle und ein dormanter ENS-Schalter

Arctic Wolf hat enthüllt, dass Potassium 24 Flood-Befehle enthält, die alle Arten von ICMP, TCP, UDP und OpenVPN abdecken. Sowohl die ARM- als auch die x86-64-Version der Malware enthalten zudem eine Ethereum Name Service (ENS)-Lookup-Funktion – ein dezentrales Namenssystem, das auf der Ethereum-Blockchain statt in der traditionellen DNS-Hierarchie läuft –, doch die Funktion ist in beiden Instanzen deaktiviert. Ethereum und ENS wurden nicht kompromittiert. Würde die ENS-Lookup-Funktion jedoch aktiviert, könnte es schwieriger werden, die Command-Server des Botnets mit konventionellen DNS- und IP-Kontrollen zu blockieren.

Nutzlose PoCs gegen einen funktionierenden privaten Exploit

Viele öffentliche Proof-of-Concept-Exploits (PoCs) scheitern an Produktivschutzmechanismen, insbesondere an Address Space Layout Randomization (ASLR), einer Härtungstechnik, die die Speicheradressen von Code und Daten eines Programms zufällig verteilt, damit Exploits keine festen Adressen zuverlässig anvisieren können. VulnChecks Spencer McIntyre bezeichnete viele der im Umlauf befindlichen Samples als „garbage and nonfunctional“, wie The Record zitierte.

Dieser Schutz ist jedoch nicht unüberwindbar. VulnCheck entwickelte einen privaten Exploit, der ASLR auf produktiv konfiguriertem PHP 8.4.26 umgeht, und erweiterte die Unterstützung später auf ausgewählte 8.4- und 8.5-Builds. Googles John Hultquist nannte die Bedrohung „viable and very serious“, wie The Record berichtet.

Warum ein DDoS-Botnet Hosting- und Krypto-Betreiber beunruhigt

Die breitere Bedrohung ist bereits erheblich. Cloudflare verzeichnete im ersten Halbjahr 2026 laut seinem Bedrohungsbericht 935 DDoS-Angriffe, die 1 Terabit pro Sekunde überschritten. Diese Angriffe wurden nicht Potassium zugeschrieben, doch sie veranschaulichen die Belastungen, denen Hosting-Anbieter, Zahlungsabwickler und Krypto-Plattformen gegenüberstehen. Mit PHP2Shell sind keine finanziellen Verluste verbunden.

PHPs neue Empfehlung und was zu beobachten ist

Am 23. Oktober offendierte PHP ein weiteres Problem, CVE-2026-115560, das eine ungewöhnliche Anwendungskonfiguration betrifft. Bis ein regulärer Fix verfügbar ist, empfiehlt PHP die Einstellung session.upload_progress.enabled=0, eine Konfigurationsdirektive, die die Upload-Progress-Funktion von PHP deaktiviert und auch als Minderung für CVE-2026-109619 dient.

Administratoren sollten PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 installieren, die Worker neu starten, damit laufende Prozesse tatsächlich den gepatchten Code übernehmen, und verdächtige Downloads überwachen. Cobalt-CISO Andrew Obadiaru warnte, dass die derzeitige Ruhephase „borrowed time“ bedeute, wie The Record zitierte.