php2shell: Erfolgreiche Angriffe auf PHP-Schwachstelle bestätigt

In der vergangenen Woche haben die PHP-Entwickler dringende Updates der Skriptsprache veröffentlicht, die kritische Sicherheitslücken schließen. Angreifer können durch die auch „php2shell“ genannten Schwachstellen Schadcode einschleusen und ausführen. Es gab seitdem millionenfache Exploit-Versuche – aber erst am Wochenende wurden erste erfolgreiche Angriffe auf Honeypots entdeckt.

Die US-amerikanische Cybersicherheitsbehörde CISA hat im Laufe des Montags dieser Woche die php2shell-Lücken in den „Known-Exploited-Vulnerabilities“-Katalog aufgenommen und bestätigt damit die erfolgreichen Angriffe. Adel Karimishiraz, Leiter für Detection and Response beim KI-Unternehmen Perplexity, betreibt PHP-Honeypots und überwacht sie mittels Perplexity-KI.

In den ersten 26 Stunden nach Veröffentlichung der PHP-Lücken hat er bereits zahlreiche Angriffsversuche beobachtet. Dabei traten 30 Mal Out-of-Memory-Probleme auf und in elf Fällen stürzten Worker-Prozesse ab, eine Ausführung eingeschleusten Schadcodes war aber nicht nachweisbar, wie Karimishiraz auf X schreibt. Am Samstagabend ergänzte er, dass er möglicherweise die Ausführung von eingeschleustem Schadcode beobachtet hat. Auf GitHub hat er schließlich eine Analyse vorgelegt und bestätigt, dass durch die php2shell-Schwachstellen Schadcode auf seine Honeypots gelangte und ausgeführt wurde. Insgesamt dokumentiert er 35 gestartete Shells auf drei Honeypots mit PHP 8.4.26, die Angriffe kamen von zwei IP-Adressen.

Möglicherweise noch viele Systeme verwundbar

Als erste Reaktion auf die php2shell-Lücken haben vergangene Woche zahlreiche Organisationen ihre Webseiten präventiv vom Netz genommen, um die Sicherheitspatches anzuwenden. Die meisten sind inzwischen wieder online. Millionenfach haben Netzwerkinfrastrukturunternehmen wie Amazon und Cloudflare Angriffsversuche beobachtet. Diese waren bis vor Kurzem aber nicht erfolgreich – das hat sich nun geändert.

Während am Freitag noch vermutlich rund 4,2 Millionen anfällige PHP-Instanzen durch einen Schwachstellenscanner der IT-Sicherheitsfirma Censys allein in Deutschland entdeckt wurden, sind die aktuellen Zahlen kaum erbaulicher: Am Dienstagmorgen weist der Scanner noch immer mehr als 4 Millionen Dienste aus, die sich mit Versionsnummern anfälliger PHP-Versionen melden. Censys weist jedoch selbst darauf hin, dass mehrere Linux-Distributionen die Patches auch auf ältere Versionsstände zurückportieren und die Zahlen daher nur ein Indiz liefern und nicht die ganze Wahrheit widerspiegeln.