Die Bekanntgabe der kritischen PHP2Shell-Sicherheitslücken hat Unternehmen weltweit dazu veranlasst, sich zu fragen: Wie schnell können wir feststellen, inwieweit wir davon betroffen sind, und entsprechende Maßnahmen ergreifen?

Zwar hat die Behebung der Schwachstellen oberste Priorität, doch PHP2Shell verdeutlicht einen viel umfassenderen Wandel. KI-gestützte Sicherheitsforschung beschleunigt die Entdeckung von Schwachstellen, darunter auch solche, die jahrzehntelang in weit verbreiteter Software verborgen waren. Infolgedessen bleibt Unternehmen möglicherweise weniger Zeit, um Risiken zu bewerten, Maßnahmen zu priorisieren und Abhilfemaßnahmen umzusetzen, bevor Angreifer beginnen, die neu bekannt gewordenen Schwachstellen auszunutzen.

In diesem Artikel erläutert Richard Ford, CTO von Integrity360, warum PHP2Shell mehr ist als nur eine weitere viel beachtete Sicherheitslücke und was Sicherheitsverantwortliche tun können, um sich auf ein Zeitalter der KI-gestützten Schwachstellenerkennung vorzubereiten.

 

Was ist PHP2Shell?

PHP2Shell, das unter den KennungenCVE-2026-109618 und CVE-2026-10961 erfasst ist, bezeichnet zwei kritische Sicherheitslücken, die die Ausführung von Remote-Code in einer Vielzahl von PHP-Versionen ermöglichen können.

Der Sicherheitshinweis von Integrity360 wies auf das erhöhte Risiko für Anwendungen mit Internetanbindung hin, insbesondere für Bereitstellungen, die mod_php verwenden. Kurz nach der Offenlegung wurde ein funktionierender Exploit verfügbar, der die Ausführung von Code ohne Authentifizierung ermöglicht, noch bevor die Anwendungslogik verarbeitet wird.

Unternehmen, die betroffene PHP-Versionen einsetzen, darunter auch solche, die Plattformen wie WordPress, Joomla und Magento unterstützen, sollten die Installation von Patches, die Bewertung der Sicherheitslücken und die Untersuchung von Sicherheitsvorfällen priorisieren.

Warum PHP2Shell über das bloße Patchen hinaus von Bedeutung ist

Die Bedeutung von PHP2Shell geht über die Sicherheitslücken selbst hinaus.

In der Vergangenheit wurden die meisten Softwarefehler durch manuelle Untersuchungen, Penetrationstests, Code-Reviews und Bug-Bounty-Programme aufgedeckt. PHP2Shell zeigt, wie KI-gestützte Analysen Ausnutzungswege identifizieren können, deren Aufdeckung zuvor als zu komplex oder unpraktisch galt.

Richard erklärt dazu:

„Einer der zugrunde liegenden Fehler geht Berichten zufolge auf das Jahr 2004 zurück, und knüpft an Speicher-Sicherheitsfehler an, die zwar gemeldet, aber nicht behoben wurden. Dies liegt zum Teil daran, dass die Erstellung eines Exploits nicht machbar war, und tatsächlich entdeckte ein PHP-Kernentwickler bereits im Jahr 2024 den mit verbundenen Out-of-Memory-Fehler, der zu einer der Schwachstellen gehörte. Obwohl es als menschlich unmöglich galt, diesen Exploit zu entwickeln, gelang es einer KI-gestützten Analyse, die mit einer Maschinen-Geschwindigkeit arbeitete, die weit über die menschlichen Fähigkeiten hinausging, die Lücke zu schließen und die perfekte Abfolge von Aktionen zu finden, um dies zu verwirklichen. Dies zeigt, wie neue Technologien Schwachstellen aufdecken können, die jahrzehntelang verborgen geblieben sind, und komplexe Wege finden, um sie auszunutzen.“ 

Die wichtigste Erkenntnis ist, dass Schwachstellen, die einst als risikoarm, theoretisch oder praktisch nicht ausnutzbar galten, möglicherweise neu bewertet werden müssen. KI erhöht sowohl die Geschwindigkeit als auch die Tiefe der Sicherheitsforschung und lässt verborgene Schwachstellen weitaus schneller ans Licht kommen als zuvor.

Für die Verteidiger bedeutet dies, dass der Zeitrahmen zwischen Entdeckung, Offenlegung und Ausnutzung immer kürzer wird.

Wie sollten Unternehmen auf die kritischen PHP-Sicherheitslücken reagieren?

Sofern sie noch keine Maßnahmen ergriffen haben, müssen Unternehmen umgehend alle betroffenen PHP-Installationen identifizieren, dabei den Systemen mit Internetanbindung Vorrang einräumen und die entsprechenden Sicherheitsupdates dringend installieren. Außerdem müssen sie untersuchen, ob bereits anfällige Systeme kompromittiert wurden.

Patches sind verfügbar und sollten so schnell wie möglich installiert werden. Unternehmen, die damit zögern, sollten jedoch in Erwägung ziehen, Anwendungen mit Internetanbindung vorübergehend offline zu nehmen, bis der Patch implementiert werden kann.

Richard rät betroffenen Unternehmen, Kompromittierungsanalysen durchzuführen, um nach Anzeichen für eine Ausnutzung zu suchen, wie beispielsweise unerwartete Shell-Aufrufe und ausgehende Webanfragen.

Die neue Herausforderung im Bereich des Schwachstellenmanagements

Wenn eine kritische Sicherheitslücke bekannt wird, müssen Unternehmen sofort mehrere Fragen beantworten:

• Wo sind die betroffenen Technologien im Einsatz?
• Welche Systeme sind nach außen exponiert?
• Welche Geschäftsdienste sind betroffen?
• Haben Ausgleichsmaßnahmen das Risiko bereits verringert?
• Gibt es Anzeichen für eine Ausnutzung der Schwachstelle?

Die Herausforderung besteht nicht mehr nur darin, Systeme zu patchen. Es geht darum, die Sicherheitslücken schnell genug zu erkennen, um fundierte Entscheidungen treffen zu können.

Unternehmen, die einen umfassenden Überblick über ihre Ressourcen, ihre Angriffsfläche und ihren Technologie-Stack haben, sind deutlich besser aufgestellt, um zu reagieren, wenn die nächste von KI entdeckte Schwachstelle auftaucht.

Wie sollten Unternehmen mit PHP2Shell umgehen?

Unternehmen sollten dringend folgende Maßnahmen ergreifen:

1. alle betroffenen PHP-Installationen identifizieren.
2. Systeme mit Internetanbindung priorisieren.
3. Hersteller-Patches unverzüglich installieren.
4. Vorübergehende Abhilfemaßnahmen umsetzen, wenn eine Patch-Installation nicht möglich ist.
5. Untersuchen Sie mögliche Anzeichen für eine Kompromittierung.
6. Überprüfen Sie den Status von Drittanbieterdiensten und Lieferanten.

Laut Richard sollten Unternehmen zudem Kompromittierungsanalysen durchführen, um nach Anzeichen wie unerwarteter Shell-Ausführung, verdächtigen ausgehenden Verbindungen und anderen Indikatoren für Aktivitäten nach einer Kompromittierung zu suchen.

In Fällen, in denen Patches nicht schnell installiert werden können, ist die vorübergehende Außerbetriebnahme anfälliger, mit dem Internet verbundener Anwendungen möglicherweise die sicherste Option.

So stellen Sie fest, ob Sie gefährdet sind

Nach der Bekanntgabe von PHP2Shell standen viele Unternehmen vor derselben Herausforderung: Sie wussten, dass eine kritische Sicherheitslücke bestand, konnten jedoch nicht feststellen, inwieweit sie davon betroffen waren.

Eine wirksame Reaktion beginnt mit der Transparenz der Systeme. Sicherheitsteams sollten folgende Fragen beantworten können:

• Wo wird PHP im gesamten Unternehmen ausgeführt?
• Welche Installationen sind mit dem Internet verbunden?
• Welche PHP-Versionen werden derzeit verwendet?
• Ist PHP in Software von Drittanbietern eingebettet?
• Wurden alle anfälligen Systeme behoben?
• Gibt es Anzeichen für Ausnutzungsversuche?

Ohne diesen Überblick laufen Unternehmen Gefahr, wertvolle Zeit mit der Identifizierung betroffener Systeme zu verlieren, während Angreifer viel schneller handeln.

Warum PHP2Shell eigentlich eine KI-Geschichte ist

Obwohl sich die Sicherheitsgemeinschaft zunächst auf die Behebung der Schwachstelle konzentriert hat, könnte PHP2Shell letztendlich als Meilenstein bei der KI-gestützten Erkennung von Sicherheitslücken in Erinnerung bleiben.

KI kann große Codebasen analysieren, ungewöhnliche Zusammenhänge identifizieren und Angriffspfade in einem Umfang aufdecken, der für menschliche Forscher allein nur schwer zu bewältigen wäre. Diese Fähigkeit dürfte die Identifizierung seit langem bestehender Schwachstellen in weit verbreiteten Technologien beschleunigen.

Für Unternehmen stellt sich nicht mehr die Frage, ob KI das Schwachstellenmanagement verändern wird. Das hat sie bereits getan.

Da die Erkennung von Schwachstellen immer schneller und effektiver wird, müssen Sicherheitsteams sicherstellen, dass die Prozesse für das Asset-Management, die Überwachung der Angriffsfläche, die Erkennung von Bedrohungen und die Behebung von Schwachstellen damit Schritt halten können.

Auch für Softwareentwicklungsteams lässt sich daraus eine proaktive Lehre ziehen. Dieselben KI-Technologien, die Forschern helfen, Schwachstellen aufzudecken, können auch in sichere Entwicklungspraktiken integriert werden, um Schwachstellen bereits in einer frühen Phase des Software-Lebenszyklus zu identifizieren.

Reicht das herkömmliche Schwachstellenmanagement aus?

PHP2Shell macht die Grenzen eines rein reaktiven Ansatzes deutlich, der sich auf das Patchen offengelegter CVEs konzentriert.

Sicherheitsteams müssen in der Lage sein:

• Genaue Bestandslisten der Systeme zu führen.
• die Angriffsfläche kontinuierlich zu überwachen.
• Schwachstellen vor der Priorisierung zu validieren.
• Anzeichen für eine Kompromittierung zu bewerten.
• Überprüfen Sie die Wirksamkeit der Abhilfemaßnahmen.

Dies steht in engem Zusammenhang mit dem Continuous Threat Exposure Management (CTEM), bei dem der Schwerpunkt auf der kontinuierlichen Erkennung, Validierung und Risikominderung von Sicherheitslücken liegt und nicht allein auf periodischen Schwachstellenanalysen.

Fünf Fragen, die sich jeder Sicherheitsverantwortliche stellen sollte

PHP2Shell mag heute oberste Priorität haben, doch eine weitere kritische Schwachstelle wird unweigerlich folgen.

Sicherheitsverantwortliche sollten sich fragen:

1. Wissen wir, wo unsere am stärksten gefährdeten Technologien liegen?

Transparenz ist für eine schnelle Reaktion unerlässlich.

2. Können wir das Risiko schnell einschätzen?

Zu wissen, dass eine Schwachstelle existiert, ist nicht dasselbe wie zu wissen, ob sie Auswirkungen auf Ihr Unternehmen hat.

3. Verstehen wir die Risiken durch Dritte?

Kritische Sicherheitslücken reichen oft über die direkt verwaltete Infrastruktur hinaus.

4. Können wir Anzeichen für einen Missbrauch erkennen?

Die Überwachung muss sowohl Kompromittierungen als auch Schwachstellen identifizieren.

5. Können wir so schnell reagieren, wie es die Bedrohung erfordert?

Die Fähigkeit, Patches zu installieren, Risiken zu mindern, Untersuchungen durchzuführen oder Systeme vorübergehend zu isolieren, hängt davon ab, dass von Anfang an genaue Daten über die Sicherheitslücken vorliegen.

Die PHP2Shell-Sicherheitslücke stellt Unternehmen vor eine einfache Frage:

Wenn die nächste kritische Sicherheitslücke entdeckt wird, wie schnell werden Sie wissen, ob Sie davon betroffen sind?

Verstehen Sie Ihr Risiko

Das Wissen um eine kritische Sicherheitslücke ist nur der erste Schritt. Erst wenn Sie wissen, wo Sie gefährdet sind, was Priorität hat und ob bereits ein Sicherheitsverstoß stattgefunden hat, können Sie wirksame Maßnahmen ergreifen.

Integrity360 kann Unternehmen dabei helfen, ihre Angriffsfläche zu verstehen, Schwachstellen zu identifizieren, potenzielle Kompromittierungen einzuschätzen und ihren Ansatz zum Schwachstellen- und Risiko-Management zu stärken.

Sprechen Sie mit unseren Cybersicherheitsexperten, um Ihre Sicherheitsrisiken zu verstehen und sich auf die nächsten Schritte vorzubereiten.

 

Häufig gestellte Fragen

Was ist PHP2Shell?

PHP2Shell ist die Bezeichnung für zwei kritische PHP-Sicherheitslücken, CVE-2026-109618 und CVE-2026-109619, die die Ausführung von Remote-Code auf betroffenen Systemen ermöglichen können. Die Sicherheitslücken betreffen eine Vielzahl von PHP-Versionen und können ein erhebliches Risiko für Anwendungen darstellen, die mit dem Internet verbunden sind.

Warum wird PHP2Shell als so schwerwiegend eingestuft?

Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen, Code auf einem anfälligen Server aus der Ferne auszuführen. Angesichts der weit verbreiteten Nutzung von PHP auf Websites, in Webanwendungen und bei Unternehmensdiensten ist die potenzielle Angriffsfläche beträchtlich.

Wodurch unterscheidet sich PHP2Shell von früheren Sicherheitslücken?

Die Sicherheitslücken sind nicht nur wegen ihres Schweregrads bemerkenswert, sondern auch, weil Berichten zufolge KI-gestützte Forschung eine Rolle bei der Identifizierung von Schwachstellen gespielt hat, die viele Jahre lang in weit verbreiteter Software verborgen geblieben waren. Dies verdeutlicht, wie KI die Geschwindigkeit und das Ausmaß der Entdeckung von Sicherheitslücken verändert.

Welche Systeme könnten betroffen sein?

Jede Anwendung, jeder Dienst und jede Plattform, auf der eine anfällige PHP-Version läuft, könnte gefährdet sein. Dazu können sowohl intern entwickelte Anwendungen als auch beliebte Plattformen wie WordPress, Joomla und Magento gehören, auf denen betroffene PHP-Versionen zum Einsatz kommen.

Wie kann ich feststellen, ob mein Unternehmen gefährdet ist?

Ermitteln Sie zunächst, wo PHP in Ihrer Umgebung eingesetzt wird, insbesondere auf Systemen mit Internetanbindung. Sicherheitsteams sollten Folgendes feststellen:

• Welche PHP-Versionen werden verwendet?
• Welche Systeme von außen zugänglich sind
• Ob PHP in Anwendungen von Drittanbietern eingebettet ist
• Ob betroffene Systeme gepatcht wurden
• Ob es Anzeichen für Ausnutzungsversuche gibt

Sind Managed-Service-Anbieter und Softwareanbieter betroffen?

Möglicherweise. Viele Unternehmen sind auf Drittanbieter angewiesen, deren Produkte oder Dienste PHP nutzen. Es ist wichtig, mit den Anbietern Kontakt aufzunehmen und zu klären, ob sie betroffen sind, welche Abhilfemaßnahmen ergriffen wurden und ob Patches verfügbar sind.

Wurden bereits Ausnutzungsversuche beobachtet?

Angesichts der öffentlichen Bekanntgabe der Sicherheitslücken und der Berichte über Proof-of-Concept-Exploits sollten Unternehmen davon ausgehen, dass Angreifer versuchen werden, nicht gepatchte Systeme auszunutzen, und daher sorgfältig auf Anzeichen einer Kompromittierung achten.

Was sollten Unternehmen unverzüglich unternehmen?

Unternehmen sollten:

1. alle betroffenen PHP-Installationen identifizieren.
2. Systeme mit Internetanbindung priorisieren.
3. Verfügbare Hersteller-Patches installieren.
4. Ausgleichsmaßnahmen ergreifen, falls die Installation der Patches nicht sofort abgeschlossen werden kann.
5. Überprüfen Sie Protokolle und Sicherheitsüberwachungsdaten auf Anzeichen einer Ausnutzung.
6. Bewerten Sie Drittanbieter und extern gehostete Dienste.

Verändert PHP2Shell die Art und Weise, wie Unternehmen das Schwachstellenmanagement angehen sollten?

Ja. PHP2Shell verdeutlicht die wachsende Bedeutung von Asset-Transparenz, Angriffsflächenmanagement und schneller Behebung. Da KI die Erkennung von Sicherheitslücken beschleunigt, bleibt Unternehmen möglicherweise weniger Zeit zwischen der Offenlegung und dem Versuch einer Ausnutzung.

Was ist die wichtigste Erkenntnis aus PHP2Shell?

Die gefährlichsten Schwachstellen sind nicht immer neue Schwachstellen. Manche bestehen möglicherweise schon seit Jahren, verborgen in weit verbreiteter Software, bis neue Technologien wie KI-gestützte Analysen ihre Aufdeckung erleichtern. Unternehmen, die ihre Sicherheitsrisiken schnell identifizieren und darauf reagieren können, sind am besten gerüstet, um mit dieser neuen Realität umzugehen.