Angriffe auf zwei kritische PHP-Sicherheitslücken begannen laut Amazon bereits Tage vor der Veröffentlichung des Patches. Die PHP Foundation erklärt, dass Informationen zu den Fehlern vorab durchsickerten.
Erste Angriffsversuche vor der Veröffentlichung
Amazon Threat Intelligence entdeckte am 17. Oktober einen Versuch, die PHP-Schwachstelle mit einem PHP2Shell-Exploit auszunutzen. Der Angriff richtete sich gegen ein sogenanntes Honeypot-System, das Angreifende anlocken und deren Aktivitäten erfassen soll. Darüber berichteten zuvor Wired und Bleeping Computer.
Am Mittwoch bemühten sich Website-Betreiber:innen darum, einen Patch für zwei kritische Sicherheitslücken einzuspielen. Betroffen ist PHP, eine Programmiersprache, die auf vielen Websites zum Einsatz kommt, darunter auch bei WordPress-Seiten. Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619.
Angreifende könnten die Fehler nutzen, um aus der Ferne schädlichen Code auf verwundbaren Geräten auszuführen. Elizabeth Barron, Geschäftsführerin der PHP Foundation, sagte gegenüber The Verge, nach aktuellem Kenntnisstand habe es keinen erfolgreichen Versuch zur Ausführung von Code aus der Ferne gegeben. Trotzdem sei es „unerlässlich“, betroffene Systeme zu aktualisieren.
Informationen sickerten vor dem Patch durch
Die PHP Foundation vermutet, dass sie den Fehler erstmals 2024 untersuchte. Das Sicherheitsteam entwickelte zwar mögliche Lösungen, doch die Behebung verzögerte sich. Grund waren unter anderem mögliche Brüche bei der Rückwärtskompatibilität, neue Risiken für Denial-of-Service-Angriffe und notwendige Änderungen an zahlreichen Erweiterungen von Drittanbietern. Deren Abstimmung erschien kaum umsetzbar.
Während die Foundation die Veröffentlichung des Updates für diese Woche vorbereitete, tauchten nach und nach Details zu den Schwachstellen in Foren und sozialen Netzwerken auf. Einige Sicherheitsfirmen veröffentlichten Informationen, bevor der Patch offiziell bereitstand.
Der Bericht von Amazon Threat Intelligence deutet jedoch darauf hin, dass möglicherweise bereits zuvor jemand von der Sicherheitslücke wusste. Der Angriff auf das Honeypot-System kam von einer anonymisierten IP-Adresse und erfolgte, während die Informationen noch unter Embargo standen. Amazon könne nicht feststellen, wie die angreifende Person vor der öffentlichen Bekanntgabe an Exploit-Informationen gelangte, schreibt CJ Moses, Amazons Chief Information Security Officer.
Amazon Threat Intelligence fand außerdem am 21. Oktober weitere Ausnutzungsversuche – wenige Stunden vor der Veröffentlichung des Patches.
Foundation will Abläufe beschleunigen
Die PHP Foundation erklärt, sie wolle ihre Prozesse ändern. Bei schwerwiegenden Sicherheitslücken, deren Behebung schwierige Abwägungen erfordert, soll die Leitung künftig früher eingebunden werden. So könne die Organisation schneller zu einer Lösung gelangen.
Zudem priorisiere die Foundation Maßnahmen, damit künftig auch komplexe Sicherheitsprobleme zügiger behoben werden, sobald sie gemeldet werden.
