php2shell: PHP-Lücken werden aktiv ausgenutzt, 4 Mio. Dienste offen

Angreifer nutzen die als php2shell bekannten Sicherheitslücken in PHP inzwischen erfolgreich aus. Die US-Cybersicherheitsbehörde CISA hat die Schwachstellen in ihren Katalog bekannter ausgenutzter Lücken aufgenommen. Über sie lässt sich Schadcode einschleusen und ausführen. Die PHP-Entwickler hatten in der Woche des 19. Oktobers dringende Updates veröffentlicht.

Erste Treffer auf Honeypots

Nach dem Bekanntwerden der Lücken registrierten Infrastrukturanbieter wie Amazon und Cloudflare Millionen von Angriffsversuchen. Lange war keiner davon erfolgreich. Das änderte sich am Wochenende, als erste Treffer auf Honeypots auftauchten, also auf absichtlich verwundbaren Servern, die Angriffe protokollieren.

Adel Karimishiraz, Leiter für Detection and Response beim KI-Unternehmen Perplexity, betreibt solche PHP-Honeypots und wertet sie mit Perplexity-KI aus. In den ersten 26 Stunden nach der Veröffentlichung beobachtete er zahlreiche Angriffsversuche: 30 Mal ging dem System der Arbeitsspeicher aus, in elf Fällen stürzten Worker-Prozesse ab. Ausgeführten Schadcode konnte er zunächst nicht nachweisen.

Am Abend des 23. Oktober meldete er dann einen möglichen Treffer. In einer Analyse auf GitHub dokumentiert er 35 gestartete Shells, also Kommandozeilen-Zugänge, auf drei Honeypots mit PHP 8.4.26. Die Angriffe stammten von zwei IP-Adressen.

Vier Millionen Dienste melden alte Versionen

Zahlreiche Organisationen nahmen ihre Webseiten in der Woche des 19. Oktobers vorsorglich vom Netz, um die Patches einzuspielen. Die meisten sind wieder online. Trotzdem bleibt die Lage unübersichtlich: Der Schwachstellenscanner der IT-Sicherheitsfirma Censys fand am Freitag rund 4,2 Millionen anfällige PHP-Instanzen allein in Deutschland. Am Morgen des 27. Oktobers waren es laut Censys noch immer mehr als vier Millionen Dienste, die sich mit der Versionsnummer einer verwundbaren PHP-Ausgabe melden.

Wer eigene PHP-Installationen betreibt, sollte die Updates umgehend einspielen. Offizielle Informationen stellt die PHP Foundation bereit.