Erste erfolgreiche Angriffe über php2shell bestätigt
Die in der vergangenen Woche veröffentlichten Notfall-Updates für PHP schließen kritische Lücken, über die Angreifer Schadcode einschleusen und ausführen können. Bis zum Wochenende blieben die millionenfachen Exploit-Versuche ohne nachweisbaren Erfolg. Nun liegen erstmals bestätigte Fälle vor.
CISA nimmt Lücken in den KEV-Katalog auf
Die US-Sicherheitsbehörde CISA hat die als „php2shell“ bekannten Schwachstellen am Montag in ihren Katalog „Known Exploited Vulnerabilities“ aufgenommen. Damit gilt die Ausnutzung in freier Wildbahn als belegt.
Adel Karimishiraz, Leiter Detection and Response beim KI-Unternehmen Perplexity, betreibt PHP-Honeypots und wertet sie mit KI-Unterstützung aus. In den ersten 26 Stunden nach Bekanntwerden beobachtete er zahlreiche Versuche: 30 Mal liefen Prozesse in Out-of-Memory-Zustände, elf Mal stürzten Worker ab. Eine Ausführung von Schadcode war zunächst nicht nachweisbar.
Am Samstagabend verdichteten sich die Hinweise. In einer Analyse auf GitHub dokumentiert Karimishiraz 35 gestartete Shells auf drei Honeypots mit PHP 8.4.26; die Angriffe kamen von zwei IP-Adressen.
Mehr als vier Millionen verwundbare Instanzen in Deutschland
Der Schwachstellenscanner von Censys fand am Freitag in Deutschland rund 4,2 Millionen Dienste, die sich mit Versionsnummern anfälliger PHP-Versionen melden. Am Dienstagmorgen waren es noch immer mehr als vier Millionen.
Censys schränkt selbst ein: Mehrere Linux-Distributionen portieren die Patches auf ältere Versionsstände zurück. Die Zahlen sind daher ein Indiz, keine vollständige Bestandsaufnahme.
Was Betreiber jetzt prüfen sollten
Viele Organisationen hatten ihre Webangebote präventiv vom Netz genommen, um die Patches einzuspielen; die meisten sind wieder erreichbar. Netzwerkdienste wie Amazon und Cloudflare registrierten millionenfache Angriffsversuche.
Offene Installationen sollten umgehend aktualisiert werden, möglichst auf eine noch unterstützte PHP-Version. Zusätzlich lohnt ein Blick in die Logs auf Out-of-Memory-Fehler und abgestürzte Worker-Prozesse – sie können ein Hinweis auf Ausnutzungsversuche sein.
Quellen
Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.
No responses yet