Nach millionenfachen Angriffsversuchen ist die Ausführung von Schadcode auf Testsystemen dokumentiert worden. Die US-Cybersicherheitsbehörde CISA führt die Schwachstellen inzwischen in ihrem Katalog aktiv ausgenutzter Sicherheitslücken.
Die kürzlich bekannt gewordenen PHP-Sicherheitslücken werden erfolgreich angegriffen. Nachdem zunächst vor allem fehlgeschlagene Exploit-Versuche und Prozessabstürze beobachtet worden waren, sind am Wochenende erfolgreiche Attacken auf sogenannte Honeypots bestätigt worden. Diese absichtlich verwundbaren Testsysteme dienen dazu, Angriffe zu erkennen und zu untersuchen.
Die PHP-Entwickler hatten in der vergangenen Woche dringende Sicherheitsupdates veröffentlicht. Sie schließen kritische Schwachstellen, die unter der Bezeichnung „php2shell“ bekannt geworden sind und Angreifern das Einschleusen und Ausführen von Schadcode ermöglichen. Am Montag nahm die US-Cybersicherheitsbehörde CISA die Lücken in ihren „Known Exploited Vulnerabilities“-Katalog auf.
Die erfolgreichen Angriffe dokumentierte Adel Karimishiraz, Leiter für Detection and Response beim KI-Unternehmen Perplexity. Er betreibt mehrere PHP-Honeypots, die er mithilfe von KI überwacht. Nach seiner auf GitHub veröffentlichten Analyse wurden auf drei Testsystemen mit PHP 8.4.26 insgesamt 35 Shells gestartet. Die Angriffe gingen demnach von zwei IP-Adressen aus.
Zuvor hatte Karimishiraz innerhalb der ersten 26 Stunden nach Bekanntwerden der Schwachstellen zahlreiche Angriffsversuche registriert. Dabei kam es in 30 Fällen zu Speicherproblemen und elfmal zum Absturz von Worker-Prozessen. Eine erfolgreiche Ausführung eingeschleusten Codes ließ sich zunächst jedoch nicht nachweisen. Erst am Samstagabend meldete er entsprechende Hinweise, die er anschließend in seiner Analyse bestätigte.
Bereits unmittelbar nach Veröffentlichung der Sicherheitsupdates hatten zahlreiche Organisationen ihre Webseiten vorsorglich abgeschaltet, um die Patches einzuspielen. Die meisten Angebote waren anschließend wieder erreichbar. Netzwerkinfrastrukturunternehmen wie Amazon und Cloudflare beobachteten unterdessen millionenfache Exploit-Versuche. Die nun dokumentierten Erfolge zeigen, dass Angreifer die Lücken tatsächlich zur Ausführung von Code nutzen können.
Wie viele öffentlich erreichbare Systeme weiterhin verwundbar sind, bleibt unklar. Der Sicherheitsdienstleister Censys erfasste am Freitag allein in Deutschland rund 4,2 Millionen Dienste, deren gemeldete PHP-Versionen auf eine mögliche Anfälligkeit hindeuteten. Am Dienstagmorgen lag dieser Wert weiterhin bei mehr als vier Millionen.
Die Zahlen erlauben allerdings keine verlässliche Aussage über die tatsächliche Zahl ungeschützter Systeme. Mehrere Linux-Distributionen übertragen Sicherheitskorrekturen auf ältere PHP-Versionen, ohne deren Versionsnummer grundlegend zu ändern. Ein Dienst kann deshalb bereits abgesichert sein, obwohl seine Versionsangabe weiterhin auf einen anfälligen Stand schließen lässt. Entscheidend ist, ob die entsprechenden Sicherheitsupdates tatsächlich installiert wurden.
Sladjan ist Webdesigner, Frontend-Entwickler und WordPress-Experte mit dem Schwerpunkt Full Site Editing (FSE). Als Webenthusiast arbeitet er seit 2006 mit HTML und CSS und ab 2016 mit WordPress. Seit 2018 arbeitet er mit WooCommerce und erstellt kleine, minimalistische und responsive Websites sowie kleinere Online-Shops. Seit 2019 ist er Zertifizierter SEM-Manager & Webanalyst (Webmasters Akademie) und seit 2024 Geprüfter Webdesigner (OfG).
![Einstieg in CSS: Wir bauen eine moderne Website für einen Rechtsanwalt [Teil 2] 🚀](https://www.webnumerus.de/wp-content/uploads/2026/05/Aufbau_CSS-Selektor-300x225.jpg "Einstieg in CSS: Wir bauen eine moderne Website für einen Rechtsanwalt [Teil 2] 🚀")
Schreiben Sie einen Kommentar