Laut W3Techs wurde PHP mit Stand 21. Oktober 2026 von 69,2 % der Websites eingesetzt, deren serverseitige Sprache bekannt ist. Hadrian nutzte diese Statistik in seiner PHP2Shell-Analyse, um das mögliche Ausmaß der Gefährdung zu veranschaulichen. Der Prozentsatz bedeutet nicht, dass 69,2 % der Websites verwundbar sind; die tatsächliche Gefährdung hängt von der installierten Version, den Paketen des Distributors und der Systemkonfiguration ab.

Die Gefährdung ist nicht nur theoretisch. Wiz Research hat eine Codeausführung ohne Authentifizierung auf den aktuellen offiziellen Container-Images von WordPress, Drupal und Joomla demonstriert. Standard-CMS-Installationen sind damit direkte Ziele, ohne dass eine besondere Konfiguration erforderlich ist.

Amazon Threat Intelligence beobachtete in seinen MadPot-Honeypots einen Versuch am 17. Oktober, also bevor die Schwachstellen und Patches veröffentlicht wurden. Die rückwirkende Auswertung der Logs sollte daher ab dem 17. Oktober 2026 beginnen. Anschließend wurden Scan- und Ausnutzungsversuche gemeldet, und PoCs wurden öffentlich verfügbar.

Am 24. Oktober erschien die erste hochwertige öffentliche Bestätigung einer erfolgreichen Ausnutzung: Adel Karimi, Detection & Response Lead bei Perplexity, verzeichnete in seinen Honeypots 35 Shells, die von zwei IP-Adressen aus gestartet wurden, auf Apache mod_php mit PHP 8.4.26, über eine vierstufige HTTP-Kette, die einem öffentlichen PoC entsprach. Zu den Belegen gehörte ein Speicherabbild von 800 KiB, das Karimi zu dem Schluss führte: “bestätigte RCE mit verwertbarer Offenlegung von Speicherinhalten”. Der Befund wurde von Marcus Hutchins (Expel) unabhängig validiert und als “mit Abstand die hochwertigste Bestätigung einer Ausnutzung in freier Wildbahn bisher” bezeichnet. Karimi betonte jedoch, dass der Test auf einem bewusst günstigen mod_php-Profil mit nur einem Worker lief und keine Aussage über die Zuverlässigkeit bei anderen Worker-Anzahlen, Builds oder Anwendungen erlaubt.

Am 26. Oktober nahm die CISA beide CVEs in ihren Katalog Known Exploited Vulnerabilities (KEV) auf, mit einer Frist zur Behebung bis zum 29. Oktober für US-Bundesbehörden. Unabhängig davon meldete CYFIRMA mit mittlerer Zuverlässigkeit eine dem Lazarus-Umfeld zugeschriebene Scan- und Sondierungskampagne, die auf 216 ungepatchte oder nur teilweise abgesicherte PHP-Hosts abzielte, Sondierungsaktivität, keine bestätigte Ausnutzung.

Erkennung und Reaktion

Parallel zum Patchen empfiehlt das SOC eine rückwirkende Überprüfung exponierter Systeme mindestens ab dem 17. Oktober 2026, soweit Telemetrie vorhanden ist. Korrelieren Sie verdächtige Zugriffe mit Prozessausführungen, Dateiänderungen, ausgehenden Verbindungen und Authentifizierungsereignissen. Das Fehlen von Telemetrie oder Alarmen beweist nicht, dass keine Ausnutzung stattgefunden hat.

1. Prozesstelemetrie / EDR

Lösen Sie einen Alarm für jeden von php-fpm, php-cgi, httpd oder apache2 gestarteten Prozess aus, der eine Shell oder Download-Tools (sh, bash, dash, curl, wget, nc, python, perl) startet. Im Normalbetrieb ist dieses Verhalten selten und sollte als mögliche Kompromittierung behandelt werden.

2. Web- und PHP-Logs

• Häufungen von POST-Anfragen vom Typ multipart/form-data aus derselben Quelle, insbesondere mit einer ungewöhnlichen Anzahl von Teilen oder Headern.

• Tief verschachtelte Feldnamen oder Anfragen, die PHP_SESSION_UPLOAD_PROGRESS enthalten, auch an Endpunkte, die keine Uploads annehmen sollten.

• Wiederholte HTTP-500-Antworten, Abstürze oder unerwartete Neustarts von PHP-Workern.

• Fehlerhafte oder ungewöhnlich lange PHPSESSID-Cookies und wiederholte Fehler (SIGSEGV, AH00052, zend_mm_heap corrupted, "Allowed memory size … in Unknown on line 0") in den PHP-, Apache- oder FPM-Logs.

3. Dateisystem und Persistenz

• Neue oder geänderte PHP-Dateien in Upload-, Cache- oder über das Web erreichbaren Verzeichnissen; prüfen Sie Zeitstempel, Eigentümer und Inhalt.

• Neue Cronjobs für den Benutzer des Webservers, kürzlich hinzugefügte SSH-Schlüssel oder Konten; ungewöhnliche ausgehende Verbindungen, die von Web-Workern aufgebaut werden.

4. So nutzen Sie Indicators of Compromise (IOCs)

Behandeln Sie IOCs als Ausgangspunkte für die Korrelation, nicht als eigenständigen Beweis: Einige Adressen können zu Anonymisierungsinfrastruktur gehören oder in legitimem Datenverkehr auftauchen. Ein Treffer bestätigt keine Kompromittierung und rechtfertigt keine automatische Blockierung. Validieren Sie Quelle, Datum und Kontext jedes Indikators und gleichen Sie ihn mit Host- und Netzwerktelemetrie ab.

Reaktion auf Sicherheitsvorfälle: bei glaubwürdigen Anzeichen einer Kompromittierung

1. Isolieren Sie das betroffene System und beschränken Sie den Netzwerkzugriff, ohne Beweise zu vernichten.

2. Sichern Sie Logs und, wenn möglich, ein Festplatten-Image sowie relevante Speicher-/Prozessartefakte.

3. Rotieren Sie alle Zugangsdaten, auf die der Webprozess zugreifen kann: Datenbankpasswörter, API-Schlüssel, Tokens und .env-Secrets.

4. Setzen Sie die Untersuchung auf Persistenz, Exfiltration und laterale Bewegung fort. Ein reines PHP-Update entfernt nicht den Zugang eines Angreifers, wenn das System bereits kompromittiert war.

5. Eskalieren Sie an das SOC-/IR-Team und prüfen Sie die geltenden Meldepflichten (DSGVO, NIS2).

Referenztabellen

[1] PHP Security Advisory — GHSA-w8hw-w9fx-j79w (CVE-2026-109618) — https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

[2] PHP Security Advisory — GHSA-6wmf-4rv5-p3rp (CVE-2026-109619) — https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

[3] PHP official notice — Session upload progress (CVE-2026-115560), 23. Okt. — https://www.php.net/archive/2026.php#2026-10-23-1

[4] Amazon Threat Intelligence — MadPot observations, 17.–21. Okt. 2026 — https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/

[5] Cloudflare — PHP2Shell: WAF mitigations and their limits — https://blog.cloudflare.com/php-vulnerabilities-waf-protection/

[6] CISA — Critical Vulnerabilities in PHP Require Immediate Patching — https://content.govdelivery.com/accounts/USDHSCISA/bulletins/42ff5ac

[7] VulnCheck — exploit research update, 23. Okt. 2026 — https://www.vulncheck.com/blog/php2shell-vulnerabilities

[8] Wiz Research — PHP2Shell technical disclosure (RCE auf CMS-Containern) — https://www.wiz.io/blog/php2shell-php-rce

[9] Censys — PHP2Shell services (dynamische, indikative Daten) — https://php2shell.censys.com/

[10] Red Hat — RHSB-2026-013 (Pakete/Distributionen) — https://access.redhat.com/security/vulnerabilities/RHSB-2026-013

[11] AWS Security Blog — WAF mitigating controls, 21. Okt. 2026 — https://aws.amazon.com/blogs/security/using-aws-waf-to-apply-mitigations-for-php2shell-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/

[12] Recorded Future News — exploitation attempts and corrections (inkl. der Revision von Sophos) — https://therecord.media/php-php2shell-exploitation-attempts-pocs

[13] Unit 42 / Palo Alto Networks — PHP2Shell Threat Brief (aktualisiert, Rücknahme der Zuordnung) — https://unit42.paloaltonetworks.com/cve-2026-109618-cve-2026-109619/

[14] SecurityWeek — PHP2Shell Exploitation Moves From Probes to Working Shells (35 Shells in einem Honeypot) — https://www.securityweek.com/php2shell-exploitation-moves-from-probes-to-working-shells/

[15] securityonline.info — PHP2Shell added to CISA KEV; probing campaign attributed to Lazarus (CYFIRMA) — https://securityonline.info/php2shell-cisa-kev-confirmed-rce-dprk/

[16] The Hacker News — Wordfence IOC lists and the Potassium botnet (Sekundärquelle) — https://thehackernews.com/2026/10/php2shell-exploit-attempts-hit-millions.html

[17] SOCRadar — exploitation report / observed infrastructure — https://socradar.io/blog/php2shell-cve-2026-109618-cve-2026-109619/

[18] W3Techs — Usage statistics and market share of PHP (Statistik mit Stand 21. Okt. 2026) — https://w3techs.com/technologies/details/pl-php

BleepingComputer — PHP2Shell security flaws now successfully exploited in the wild (RCE im Honeypot, 26. Okt.) — https://www.bleepingcomputer.com/news/security/php2shell-security-flaws-now-sucessfully-exploited-in-the-wild/