Das PHP-Logo in einem ovalen Rahmen.
Angriffe auf zwei kritische PHP-Sicherheitslücken begannen laut Amazon bereits Tage vor der Veröffentlichung des Patches. Die PHP Foundation erklärt, dass Informationen zu den Fehlern vorab durchsickerten.
Amazon Threat Intelligence entdeckte am 17. Oktober einen Versuch, die PHP-Schwachstelle mit einem PHP2Shell-Exploit auszunutzen. Der Angriff richtete sich gegen ein sogenanntes Honeypot-System, das Angreifende anlocken und deren Aktivitäten erfassen soll. Darüber berichteten zuvor Wired und Bleeping Computer.
Am Mittwoch bemühten sich Website-Betreiber:innen darum, einen Patch für zwei kritische Sicherheitslücken einzuspielen. Betroffen ist PHP, eine Programmiersprache, die auf vielen Websites zum Einsatz kommt, darunter auch bei WordPress-Seiten. Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619.
Angreifende könnten die Fehler nutzen, um aus der Ferne schädlichen Code auf verwundbaren Geräten auszuführen. Elizabeth Barron, Geschäftsführerin der PHP Foundation, sagte gegenüber The Verge, nach aktuellem Kenntnisstand habe es keinen erfolgreichen Versuch zur Ausführung von Code aus der Ferne gegeben. Trotzdem sei es „unerlässlich“, betroffene Systeme zu aktualisieren.
Die PHP Foundation vermutet, dass sie den Fehler erstmals 2024 untersuchte. Das Sicherheitsteam entwickelte zwar mögliche Lösungen, doch die Behebung verzögerte sich. Grund waren unter anderem mögliche Brüche bei der Rückwärtskompatibilität, neue Risiken für Denial-of-Service-Angriffe und notwendige Änderungen an zahlreichen Erweiterungen von Drittanbietern. Deren Abstimmung erschien kaum umsetzbar.
Während die Foundation die Veröffentlichung des Updates für diese Woche vorbereitete, tauchten nach und nach Details zu den Schwachstellen in Foren und sozialen Netzwerken auf. Einige Sicherheitsfirmen veröffentlichten Informationen, bevor der Patch offiziell bereitstand.
Der Bericht von Amazon Threat Intelligence deutet jedoch darauf hin, dass möglicherweise bereits zuvor jemand von der Sicherheitslücke wusste. Der Angriff auf das Honeypot-System kam von einer anonymisierten IP-Adresse und erfolgte, während die Informationen noch unter Embargo standen. Amazon könne nicht feststellen, wie die angreifende Person vor der öffentlichen Bekanntgabe an Exploit-Informationen gelangte, schreibt CJ Moses, Amazons Chief Information Security Officer.
Amazon Threat Intelligence fand außerdem am 21. Oktober weitere Ausnutzungsversuche – wenige Stunden vor der Veröffentlichung des Patches.
Die PHP Foundation erklärt, sie wolle ihre Prozesse ändern. Bei schwerwiegenden Sicherheitslücken, deren Behebung schwierige Abwägungen erfordert, soll die Leitung künftig früher eingebunden werden. So könne die Organisation schneller zu einer Lösung gelangen.
Zudem priorisiere die Foundation Maßnahmen, damit künftig auch komplexe Sicherheitsprobleme zügiger behoben werden, sobald sie gemeldet werden.
Den Beitrag in unserem Forum kommentieren
Auf einer Fehlerseite von Apple Music könnt Ihr einen virtuellen iPod der ersten Generation bedienen. Das versteckte Gerät spielt eine…
Am 23. Oktober 2001 stellte Steve Jobs den ersten iPod vor. Der Musikplayer prägte Apples Weg über den Mac hinaus…
Apple soll für das iPhone Duo zunächst rund acht Millionen Geräte bestellt haben. Die Zahl reicht laut Bericht bis ins…
Apple bringt einen intelligenten Assistenten in Pages, Numbers und Keynote. Das Angebot richtet sich zunächst an Abonnent:innen von Apple Creative…
Das iPhone Duo startet heute in den offiziellen Verkauf. Bereits letzte Woche zum Beginn der Vorbestellungen war ziemlich schnell klar:…
Zum Marktstart des iPhone Duo haben Entwickler:innen bereits zahlreiche Apps für Apples erstes faltbares iPhone angepasst. Die Anwendungen nutzen den…
Diese Website benutzt Cookies um Ihr Nutzererlebnis zu verbessern. Wenn Sie diese Website weiter nutzen, gehen wir von Ihrem Einverständnis aus.
Mehr lesen