PHP2Shell und die Maschine, die den Einbruch vorbereitet hat
Download am Donnerstag. Seit gestern Nachmittag (21.10) gibt es ein Update, das kein Administrator auf die nächste Wartungsrunde verschieben sollte. Das PHP-Team hat die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei Lücken im Kern der Sprache, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 geführt werden und in der Sicherheitsszene PHP2Shell heißen. Ein Angreifer braucht kein Passwort. Eine präparierte Anfrage genügt, um fremden Code auf dem Server auszuführen, so auch die Warnung beim BSI als PDF.
Die Ursache liegt im Umgang mit fatalen Fehlern. Läuft PHP bei einer Anfrage der Speicher aus, bricht es mitten in der Arbeit ab und räumt danach mit halb angelegten Daten auf. Bei der zweiten Lücke überlebt ein Verweis auf bereits freigegebenen Speicher und wird von der nächsten Anfrage im selben Prozess weiterverwendet. Laut den Entdeckern bei Wiz ließen sich so auch Passwörter, Tokens und API-Schlüssel aus dem Arbeitsspeicher lesen. Wiz habe die Übernahme aktueller WordPress-, Drupal- und Joomla-Container ohne Anmeldung vorgeführt. Am stärksten gefährdet sind nach Angaben des PHP-Teams Server mit Apache und mod_php.
Bemerkenswert ist die Rolle der KI. Gefunden haben die Fehler Wiz, die Sicherheitsfirma Calif und OpenAI gemeinsam. Die Schwachstellen steckten laut Wiz seit über einem Jahrzehnt im Code. Ihre Ausnutzbarkeit nachzuweisen, habe jedoch eine so verschachtelte Kette von Schritten erfordert, dass menschliche Forscher an die Grenze des praktisch Machbaren gestoßen seien. Erst Frontier-Modelle hätten diese Hürde entscheidend gesenkt. Die Modelle haben demnach aus einem alten Fehler einen funktionierenden Angriff gemacht.
Genau darin liegt das Problem. Die Details sickerten am 20. Oktober vor Ablauf der Sperrfrist über Hacker News durch, samt Screenshots eines Angriffswerkzeugs mit dem Namen PHP2Shell. Das PHP-Team zog den Patch daraufhin um einen Tag vor. Cloudflare beobachte bereits Angriffe auf Kundenseiten, CERT-EU zufolge kursierten erste Proof-of-Concept-Exploits. Ob die Angreifer selbst KI einsetzen, ist nicht belegt. Belegt ist, dass die Hürde zum Exploit gefallen ist, und zwar nicht nur für die Verteidiger.
Wer PHP 8.2 bis 8.5 betreibt, installiert die genannten Versionen oder die gepatchten Pakete seiner Distribution und startet anschließend PHP-FPM beziehungsweise den Webserver neu. Ohne Neustart läuft der verwundbare Code weiter. Für PHP 8.1 und älter gibt es kein offizielles Release, nur Quellcode-Backports und Pakete einzelner Distributionen. Wer nicht sofort patchen kann, sollte nach Empfehlung von CERT-EU erwägen, die Anwendung vorübergehend vom Netz zu nehmen. Wer länger ungepatcht erreichbar war, wechselt vorsorglich Zugangsdaten und Schlüssel.
< tl;dr />
PHP2Shell betrifft praktisch jede PHP-Website, das Update auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 samt Neustart ist Pflicht. Die KI hat diesmal den Verteidigern geholfen. Dass sie die Lücke in der Praxis zur Waffe gemacht hat, ist trotzdem die eigentliche Nachricht.
Noch keine Kommentare.