Kritische PHP-Schwachstellen: 5 wichtige Fakten zu Cyberangriffen

Sicherheitsforscher berichten von Ausnutzungsversuchen, die auf zwei kritische Schwachstellen in PHP abzielen. Sie mahnen dringend dazu, die weit verbreitete Webtechnologie zu aktualisieren. Widersprüchliches hört man, ob bereits Cyberangriffe rollen.

 

Zur besten Sendezeit hat die 20-Uhr-Ausgabe der Tagesschau über den Sicherheitsvorfall mit der Programmiersprache PHP berichtet. In diesem Code haben viele Unternehmen ihre Webseiten erstellt. Aktuellen Informationen, die dem BSI vorliegen, seien alle bekannten PHP-Versionen, zurückgehend bis mindestens PHP 5, verwundbar. Derzeit könne nicht ausgeschlossen werden, dass es Angreifern durch die Schwachstellen möglich ist, aus der Ferne schadhaften Code auf Webservern mit PHP-Anwendungen auszuführen, so die Behörde.

Zwei kritische Schwachstellen in PHP wprden dem BSI zufolge aktiv auszunutzen versucht. Laut Cybersicherheitsforschern müssen daher dringend und flächendeckend Sicherheitsupdates installiert werden. Die beiden Schwachstellen, die gemeinsam als "PHP2Shell" bezeichnet werden, haben einen Schweregrad von 9,2 von 10,0 und sind somit als "kritisches" Risiko eingestuft.

"Da 70 Prozent des Internets betroffen sind, kann die Tragweite von PHP2Shell kaum überschätzt werden", schrieben Forscher des zu Google gehörenden Unternehmens Wiz.

BSI-Vizepräsident Thomas Caspers warnt: "Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren. Es besteht also unverzüglicher Handlungsbedarf!"

PHP veröffentlichte noch am Mittwoch Sicherheitsupdates zur Behebung der Schwachstellen, nachdem Details dazu vor einer geplanten koordinierten Offenlegung durchgesickert waren. Im Folgenden finden Sie fünf wichtige Fakten zu den "kritischen" PHP-Schwachstellen und den damit verbundenen Ausnutzungsaktivitäten.

Ausnutzungsversuche laufen

Forscher des Cybersicherheitsunternehmens WatchTowr erklärten am Mittwoch, sie hätten aktive Ausnutzungsversuche gegen beide kritischen Schwachstellen beobachtet, die unter CVE-2026-109618 und CVE-2026-109619 geführt werden. Aus dem Bericht von WatchTowr geht weder hervor, welche Bedrohungsakteure hinter den Aktivitäten stehen, noch wie viele Organisationen kompromittiert wurden.

Der Cybersicherheitsanbieter Huntress erklärte unterdessen, bis Mittwoch um 10 Uhr US-Ostküstenzeit keine Ausnutzung in freier Wildbahn bei seinen Partnern festgestellt zu haben.

Das BSI erklärte am Donnerstagmorgen, dass der Behörde bislang keine Cyberangriffe gemeldet worden seien.

In den USA ist es scheinbar anders. "Andere berichten jedoch, dass erste Angriffe auftreten", schrieb John Hammond, leitender Sicherheitsforscher bei Huntress, in einem Blogbeitrag. "Daher ist ein zeitnahes Update auf PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 entscheidend."

Details zu den Schwachstellen

Die beiden PHP2Shell-Schwachstellen beruhen laut Forschern auf Fehlern bei der Verarbeitung von Daten im Arbeitsspeicher durch PHP, wenn ein Fehler eine Webanfrage unterbricht.

Eine erfolgreiche Ausnutzung kann einem Bedrohungsakteur die Ausführung von Befehlen mit den Berechtigungen des Web-Workers ermöglichen. Dadurch könnten Webshells installiert, Zugangsdaten gestohlen oder weitere Bereiche eines Netzwerks kompromittiert werden, so die Forscher.

CrowdStrike hat einen Angriff verifiziert, der die Schwachstellen "ohne Authentifizierung, ohne Sitzung und ohne anfälligen Anwendungscode" ausnutzt, schrieb Amit Serper, leitender Sicherheitsforscher bei CrowdStrike, in einem Beitrag.

Forscher von SentinelOne warnten unterdessen, Angreifer könnten Passwörter, Token und API-Schlüssel aus dem PHP-Prozessspeicher stehlen, ohne Code auszuführen. Dadurch sei die Aktivität mit Werkzeugen, die auf die Erkennung bösartiger Codeausführung ausgerichtet sind, schwieriger zu erkennen.

Breite Angriffsfläche

Da die PHP2Shell-Schwachstellen die zugrunde liegende PHP-Engine betreffen, haben sie laut Forschern Auswirkungen auf Content-Management-Systeme, Geschäftsanwendungen und Hosting-Umgebungen.

Forscher von Wiz erklärten, dass Versionen bis zurück zu PHP 5.4 von mindestens einer der Schwachstellen betroffen seien. In einem Beitrag demonstrierten sie nicht authentifizierte Remotecodeausführung gegen Installationen von WordPress, Drupal und Joomla sowie separate Angriffe, durch die sensible Inhalte des Prozessspeichers offengelegt wurden.

"Diese Plattformen veranschaulichen die Auswirkungen, doch die Schwachstellen liegen in PHP selbst", schrieben die Wiz-Forscher. "Selbst eine einfache "Hello World"-Anwendung, die auf einer betroffenen PHP-Version läuft, kann anfällig sein."

Bestimmte Ausnutzungswege haben laut den Forschern unterschiedliche Voraussetzungen.

Schwachstelle seid mehr als einem Jahrzehnt bekannt – bis KI kam

KI spielte laut Forschern von Wiz eine wichtige Rolle bei der Entdeckung der PHP2Shell-Schwachstellen und der Entwicklung funktionierender Exploits.Für die Entwicklung der Exploits mussten die Forscher mehrere Schwachstellen kombinieren. KI half dabei, den für die Angriffe erforderlichen Aufwand zu reduzieren.

Die Offenlegung der kritischen PHP-Schwachstellen "markiert einen Wendepunkt für KI. Der anfällige Code war seit mehr als einem Jahrzehnt vorhanden – was KI veränderte, war die Fähigkeit, die Schwächen zu verstehen und daraus einen funktionierenden Exploit zu entwickeln", schrieben die Wiz-Forscher. "Mit führenden KI-Modellen und den richtigen Werkzeugen schaffte ein einzelner Forscher in einer Woche, wofür ein Weltklasseteam früher Monate gebraucht hätte."

Dringender Aufruf zum Patchen

PHP veröffentlichte Fehlerbehebungen in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Organisationen werden dringend aufgefordert, das passende Update zu installieren oder gepatchte Pakete von ihrem Softwareanbieter zu beziehen.

PHP 8.1 und ältere Versionen erhalten vom PHP-Projekt keine regulären Updates mehr. Distributoren und Anbieter mit Langzeitunterstützung könnten rückportierte Korrekturen bereitstellen. Das PHP-Sicherheitsteam stellte außerdem minimale Quellcode-Rückportierungen für PHP 7.4, 8.0 und 8.1 bereit.

Huntress fordert Organisationen dazu auf, jede PHP-Installation zu erfassen, einschließlich der in Herstellersoftware, Hosting-Control-Panels und Windows-Anwendungen enthaltenen Kopien. Systeme mit Internetzugang sollten dabei Vorrang haben.

Sicherheitsteams sollten außerdem PHP- und Webserver-Prozesse auf ungewöhnliche Aktivitäten überwachen, darunter das Starten von Shells, Skript-Interpretern oder Download-Werkzeugen, so die Forscher.

PHP ist ein Open-Source-Projekt. Ende 2021 hat sich eine gemeinnützige Organisation gegründet: The PHP Foundation. Ziel ist es, die langfristige Zukunft, Sicherheit und Weiterentwicklung von PHP zu sichern. Die Organisation finanziert sich durch Spenden von Unternehmen aus dem PHP-Ökosystem und von Einzelpersonen. Mit den Mitteln bezahlt die PHP-Foundation Core-Entwickler, die hauptberuflich am Quellcode von PHP arbeiten.

PHP geht auf Rasmus Lerdorf zurück, der 1994 PHP alleine entwickelt hat, um die Besucher seines Online-Lebenslaufs zu zählen.. Et ist bis heute in der PHP-Community tätig.

Der Artikel erschien zuerst bei unserer Schwesterpublikation crn.com.

CRN-Newsletter beziehen und Archiv nutzen - kostenlos: Jetzt bei der CRN Community anmelden