php2shell: Wird die Schwachstelle bereits ausgenutzt?

In unserem Beitrag zur Sicherheitslücke php2shell haben wir die beiden kritischen Lücken im PHP-Kern vorgestellt. Seitdem hat sich die Lage weiterentwickelt: Amazon meldete den ersten Exploitation-Versuch bereits am 17.10.2026 aus einem eigenen Honeypot-Netz und auch Cloudflare bestätigt aktive Angriffe mit wechselnden Payloads.

Zudem sind erste Proof-of-Concept-Exploits veröffentlicht worden und es wird davon ausgegangen, dass bereits in großem Stil automatisierte Scanner eingesetzt werden, um verwundbare Systeme zu suchen. Da das Risiko gezielter Angriffe weiterhin hoch ist, unterstützen wir Sie gerne bei der schnellen Umsetzung notwendiger Sicherheitsmaßnahmen. Kontaktieren Sie uns dazu direkt über unser Kontaktformular.

Wie erkennen Sie, ob Ihr Webserver ausgenutzt wurde?

Beide Schwachstellen funktionieren nach demselben Prinzip: Ein Angreifer nutzt eine Multipart-Anfrage, um einen Speicherfehler auszulösen. Bei der Bereinigung bleibt korrupter Speicher im PHP-Worker zurück, der durch eine Folgeanfrage für unauthentifizierte Remote Code Execution ausgenutzt wird.

Sie können den Angriff vor allem an den typischen Mustern in HTTP-Anfragen erkennen:

• POST-Anfragen, die die Zeichenkette PHP_SESSION_UPLOAD_PROGRESS enthalten.
• Ungewöhnlich große Uploads, teils ohne Content-Length.

Zusätzlich können Sie die PHP- und Apache-Logs auf folgende Log-Einträge prüfen: 'Allowed memory size exhausted', Segmentation Faults oder dokumentierte Abstürze der PHP-Worker. Wenn Sie zudem unerwartete Dateien, neue Cron-Jobs oder unbekannte, ausgehende Verbindungen feststellen, kann dies auf eine erfolgreiche Ausnutzung hin deuten. Wir unterstützen Sie sowohl beim Patchen Ihrer Systeme als auch bei der Untersuchung auf Anzeichen für eine Ausnutzung der Schwachstellen.

Handlungsempfehlungen

Wenn Ihr System eine PHP Version vor 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 einsetzt, ist Ihr System verwundbar und wir empfehlen Ihnen, PHP zu aktualisieren. Prüfen Sie die aktuell eingesetzte PHP-Version direkt über den Webserver, um zu verhindern, dass Ihre Anwendung eine alternative, veraltete PHP-Version einsetzt.

• Patchen Sie alle PHP-Installationen auf die neueste Version und starten Sie Ihr System neu.
• Wenn Ihr System nicht auf die neueste Version aktualisiert werden kann, empfehlen wir Ihnen, dieses unmittelbar vom Internet zu trennen, um den möglichen Einfallsweg drastisch zu reduzieren.
• Achten Sie auf unerwartete Prozessausführung oder Dateiveränderungen auf den Webservern.

Sie sind sich unsicher, ob Ihre Systeme betroffen sind? Wir prüfen Ihre eingesetzte PHP-Version, führen einen Schwachstellen-Check durch und unterstützen Sie beim Patchen. Im Verdachtsfall führen wir eine Forensik durch und bereinigen kompromittierte Systeme.