PHP-Lücken ausgenutzt: "Es wird noch viel schlimmer werden"

Während noch immer viele Systeme nicht gepatcht sind, werden die beiden PHP2Shell-Schwachstellen inzwischen aktiv ausgenutzt. Experten wie Anthropics Vize-Sicherheitschef Jason Clinton warnen unterdessen davor, dass die Turbulenzen der vergangenen Tage nur ein zarter Vorgeschmack auf das sind, was die IT-Welt künftig erwartet.

Nachdem sich in den vergangenen Tagen bereits stark die Anzeichen verdichtet haben, dass die beiden als PHP2Shell bekannten Schwachstellen CVE-2026-109618 und CVE-2026-109619 von Angreifern ausgenutzt werden, kommt jetzt die Bestätigung dafür von der US-Cybersicherheitsbehörde CISA. Sie nennt in ihrer Warnung jedoch keinerlei Details dazu, in welchem Umfang und wie erfolgreich die bislang von ihr beobachteten Angriffe auf die Schlüsseltechnologie sind, die hinter zahlreichen Webplattformen wie WordPress und Drupal steht. Theoretisch könnten Angreifer der Sicherheitswarnung zufolge über PHP2Shell ohne Authentifizierung Code aus der Ferne ausführen, weshalb sie mit einem Schweregrad von 9,2 von 10 als "kritisches" Risiko eingestuft sind.

Dass das auch in der Praxis funktioniert und geschieht, bestätigte bereits am Wochenende Perplexity-Forscher Adel Karimi, indem er mehrere erfolgreiche Shell-Starts in Honeypots dokumentierte. "Damit ist bestätigt, dass es sich um eine RCE [Remote Code Execution] mit Offenlegung von nutzbarem Speicher handelt, und nicht nur um einen Absturz, gefolgt von einem verdächtigen Prozess", schrieb Karimi am Samstag auf X.com. Marcus Hutchins, Principal Threat Researcher bei Expel, sieht darin "die mit Abstand hochwertigste Bestätigung für eine Ausnutzung von PHP2Shell in freier Wildbahn, die ich bislang gesehen habe", wie er auf der Plattform unterstreicht.

In Anbetracht dieser Lage ist es zunächst beruhigend, dass IT-Security-Experten und -Anbieter – zumindest bislang – noch keinen Alarm bezüglich größerer Angriffswellen schlagen. Gegenüber CRN bestätigt beispielsweise der Security-Hersteller Huntress, dass bislang "keine ernsthafte Ausnutzungsaktivität" verzeichnet wurde. Allerdings ist das nur das halbe Bild und kann sich zudem schnell ändern. Denn gleichzeitig warnen sie, dass die bereitgestellten Patches noch nicht auf allen betroffenen Systemen installiert und noch nicht in alle Drittlösungen integriert sind. Auch die CISA ordnet deshalb explizit an, dass US-Behörden bis Donnerstag dieser Woche entsprechende Schutzmaßnahmen umsetzen müssen.

Betroffene Systeme identifizieren: Schon der erste Schritt überfordert viele Organisationen

Um möglichst schnell auf die Bedrohung reagieren zu können, ist zunächst ein vollständiger Überblick über die betroffenen Systeme und Instanzen gefragt. Doch schon hier scheitern viele Betroffene, entweder weil ihre Katalogisierung und Dokumentation nicht detailliert genug ist. "Wir beobachten bei unseren Kunden zahlreiche Patching-Maßnahmen", berichtet Justin Timothy, der Threat Intelligence Consultant bei GuidePoint Security ist (Nummer 32 auf der CRN-Liste Solution Provider 500 2026), gegenüber CRN. "Aber wir sehen ebenso viele Kunden, denen gar nicht bewusst ist, welche Dienste PHP nutzen – einfach weil es sich um eine massive Abhängigkeit handelt." Angesichts der großen Bekanntheit der Sicherheitslücken "gibt es zwar ein hohes Maß an Sensibilisierung, aber ich glaube nicht, dass das Bewusstsein ausreichend ist", so Timothy. "Sicherheitsvorfälle wie dieser können für viele Unternehmen drastische Folgen haben und Kettenreaktionen auslösen."

Hinzu kommt, dass vielerorts die Ressourcen fehlen, um die Identifikation und Behebung mit höchster Priorität und schneller Geschwindigkeit voranzutreiben. "Große Unternehmen mit gut ausgestatteten Sicherheits- und Schwachstellenmanagement-Teams installieren die Patches sofort. Sie verfügen über die nötigen Ressourcen", beobachtet der Security-Fachmann. Er befürchtet daher: "Am stärksten betroffen sein werden kleine und mittlere Unternehmen, denen das entsprechende Sicherheitsbudget fehlt." Genau das sind demnach die Kunden, die aktuell besonders stark auf Hilfe von Systemhäusern und Dienstleistern angewiesen sind.

Und das möglichst zügig. Denn nach dem Dafürhalten von Timothy "haben die PHP2Shell-Schwachstellen und ihre Ausnutzung definitiv das Potenzial, zu einem Szenario à la Log4j-Log4Shell zu werden". Bei der 2021 veröffentlichten Sicherheitslücke Log4Shell hatten viele Organisationen entsprechende Software-Abhängigkeiten übersehen, was eine monatelange Angriffswelle nach sich zog. "Ich befürchte, dass wir ähnliche Nachwirkungen erleben werden, wenn Nutzer keine Patches installiert haben und Angreifer diese Schwachstelle [über einen längeren Zeitraum] ausnutzen", warnt der Experte.

Dabei sind selbst große Hersteller erst noch auf der Suche nach Produkten (siehe Seite 2).

PHP2Shell: Betroffene Produkte von Cisco, Oracle

Wie weitreichend verbreitet die Lücken sind und wie schwierig es ist, sie unter der gebotenen Eile umfassend abzuarbeiten, zeigt ein Blick auf die Hersteller. Selbst bei ihnen ist die Identifikation aller anfälligen Produkte derzeit noch Work in Progress, wie die Beispiele von Cisco und Oracle zeigen.

Cisco

So hat etwa Cisco bereits mehrere von den PHP2Shell-Schwachstellen betroffene Produkte identifiziert, zu denen Expressway Series, Expressway Select Series, Duo Access Gateway und Ultra-Reliable Wireless Backhaul gehören. Die entsprechende Sicherheitsmeldung nennt Softwareversionen mit Fehlerbehebungen und verweist Partner und Kunden darüber hinaus auf verfügbare Übergangslösungen. Nach eigenen Angaben untersucht das Unternehmen derzeit noch, ob und inwieweit auch andere Produkte wie Identity Services Engine Portal Builder, Software Defined-Application Visibility and Control, Cloud Connector und Unified Industrial Wireless Software von den PHP-Lücken betroffen sind. Das zentrale Produkt Identity Services Engine führt Cisco unterdessen explizit als nicht betroffen auf.

Oracle

Auch Oracle hat bereits eine erste Liste der von den Lücken gefährdeten Produkte veröffentlicht, die durch fortlaufende Untersuchungen noch erweitert wird. Ein solcher Nachtrag betraf Anfang der Woche etwa Secure Backup. Weiters finden sich dort etwa Oracle Solaris 11 sowie mehrere Produkte von Oracle Communications, darunter Diameter Signaling Router und Unified Assurance. Oracle forderte Kunden auf, verfügbare Patches gegen die PHP-Schwachstellen so schnell wie möglich einzuspielen.

Ähnliches vermelden auch andere Hersteller, die aktuell ebenfalls schwer damit beschäftigt sind, alle möglichen Einfallstore in ihren Produkten und Lösungen zu erkennen und schließen.

"Tsunami an Sicherheitslücken": Das dicke Ende kommt erst noch

Insofern bietet die Situation zugleich einen guten Lackmustest, ob die Unternehmen und ihre Partner aus der Vergangenheit gelernt haben und schnell und umfassend genug reagieren können. Denn das wird in der Zukunft noch wichtiger, wenn künftig ein "Tsunami an Sicherheitslücken" auf die Sicherheitsverantwortlichen hereinprasselt, wie Jason Clinton, stellvertretende Sicherheitschef des KI-Anbieters Anthropic, warnt. Er ist überzeugt: "So schlimm es in den vergangenen vier Tagen auch geworden ist: Es wird noch viel schlimmer werden, bevor es besser wird."

Clinton sieht dafür allerdings noch eine Menge Nachholbedarf, insbesondere muss nach seinem Dafürhalten sowohl akut als auch langfristig intensiver daran gearbeitet werden, die "kritische Infrastruktur zu patchen", bevor zentrale Schwachstellen in Netzwerken ausgenutzt werden. "Sicherheitschefs, lasst keine Krise ungenutzt verstreichen", fordert er deshalb und empfiehlt den Betroffenen: "Bitte wendet euch sofort an eure Vorstände und bittet um Unterstützung. Nicht für KI, sondern für die Grundlagen." Er rechnet damit, dass dieser Kampf um die notwendige Aufmerksamkeit und die entsprechenden Ressourcen noch Jahre andauern kann.

Ähnlich deutliche Worte findet auch der Berater und Investor Sriram Krishnan, indem er die aktuell durch PHP2Shell auftretenden Probleme als "Vorboten dessen, was noch kommt" einordnet. Weil durch KI auch jahrelang vernachlässigte Probleme und Schwachstellen schonungslos offengelegt werden, müsse die Softwarelieferkette künftig enorme Kräfte und Geschwindigkeit aufbieten, um die entsprechenden Fixes schnell und zuverlässig zu entwickeln und auf breiter Front auszurollen.

Für diesen Artikel wurde teilweise Material unserer Schwesterpublikation crn.com genutzt.

CRN-Newsletter beziehen und Archiv nutzen - kostenlos: Jetzt bei der CRN Community anmelden