PHP2Shell: Gefährliche PHP-Lücke erstmals erfolgreich ausgenutzt

TTS-Player überspringen↵Artikel weiterlesen

Seit Tagen sorgt die schwere PHP-Sicherheitslücke „PHP2Shell“ weltweit für Aufregung. Behörden schalteten Internetseiten ab, Unternehmen mussten ihre Server dringend aktualisieren. Bislang war allerdings offen, ob Angreifer die Schwachstellen außerhalb von Sicherheitstests tatsächlich erfolgreich ausnutzen können. Nun zeigen neue Beobachtungen: Unter bestimmten Bedingungen funktioniert der Angriff.

Sicherheitsforscher haben auf speziell überwachten Testservern Angriffe beobachtet, bei denen fremde Befehle tatsächlich ausgeführt wurden. Damit hat sich die Lage verändert: Aus zahlreichen beobachteten Angriffsversuchen ist erstmals ein konkret dokumentierter erfolgreicher Angriff auf solche Ködersysteme geworden.

Angreifer schaffen es bis auf den Server

Hinter PHP2Shell stecken zwei kritische Sicherheitslücken in PHP , einer Technik, die im Hintergrund vieler Websites und Online-Dienste arbeitet. Unter bestimmten Voraussetzungen können Angreifer einem anfälligen Server eigene Befehle geben, ohne sich dort vorher anmelden zu müssen.

Der Sicherheitsforscher Adel Karimi beobachtet solche Attacken mit sogenannten Honeypots – Servern, die gezielt als Köder für Angreifer dienen. Am 24. Oktober 2026 wurden auf drei dieser Systeme insgesamt 35 erfolgreiche Starts einer Server-Kommandozeile registriert. Vereinfacht gesagt: Die Angreifer schafften es tatsächlich, den Server dazu zu bringen, ihre Befehle auszuführen.

Angriffe begannen offenbar schon vor der Warnung

Noch brisanter: Verdächtige Aktivitäten wurden offenbar schon beobachtet, bevor die Sicherheitslücken offiziell veröffentlicht worden waren. Amazon Threat Intelligence registrierte entsprechende Aktivitäten bereits am 17. Oktober. Ob dieser frühe Angriffsversuch funktioniert hat, blieb allerdings offen.

Nach Bekanntwerden von PHP2Shell nahm die Aktivität deutlich zu. F5 Labs und Forscher der TU Delft beobachteten zahlreiche Versuche, anfällige Systeme aufzuspüren und anzugreifen.

Wie ernst ist die Lage jetzt?

Die entscheidende Nachricht lautet: PHP2Shell ist keine Gefahr mehr, die nur auf dem Papier existiert. Es ist inzwischen dokumentiert, dass Angreifer unter bestimmten Bedingungen Befehle auf anfälligen Servern ausführen können.

Von einer großen Hacker-Welle auf echte Websites kann bislang aber keine Rede sein. Die nachgewiesenen erfolgreichen Angriffe fanden auf speziell eingerichteten Honeypots statt. Ob die Methode bei anderen PHP-Versionen und unterschiedlich eingerichteten Servern ebenso zuverlässig funktioniert, ist damit nicht bewiesen.

Auch für einen massenhaften Datendiebstahl oder die großflächige Übernahme realer Websites gibt es bislang keine Belege.

Der aktuelle Stand lässt sich deshalb so zusammenfassen: Hacker suchen aktiv nach anfälligen Systemen, und ein funktionierender Angriffsweg ist dokumentiert. Wie viele echte Websites bereits erfolgreich angegriffen wurden, ist dagegen bislang nicht bekannt.

Betreiber sollten jetzt dringend aktualisieren

Für die beiden PHP-Lücken gibt es bereits Sicherheitsupdates. Betreiber, die noch eine nicht-gepatchte Version einsetzen, sollten deshalb nicht länger warten und ihre Systeme aktualisieren.

Gerade die neuen Beobachtungen erhöhen den Zeitdruck: Angreifer testen die Schwachstellen nicht mehr nur, sondern können sie unter bestimmten Voraussetzungen tatsächlich ausnutzen.

Für Verbraucher besteht weiterhin kein Grund zur Panik. PHP2Shell greift zunächst den Server an, auf dem eine Website oder ein Online-Dienst läuft. Wer eine anfällige Website besucht, dessen Smartphone oder Laptop wird dadurch nicht automatisch gehackt.