Amazon Entdeckte Hacker, Bevor PHP-Sicherheitsanfälligkeiten Behebt Wurden

Am 17. Oktober entdeckte das Sicherheitsteam von Amazon Hacking-Versuche, die darauf abzielten, Schwachstellen in der Programmiersprache PHP auszunutzen. Dies geschah vier Tage bevor ein öffentliches Patch veröffentlicht wurde. Dies berichtete CJ Moses, Chief Information Security Officer bei Amazon Integrated Security.

Die neuen Schwachstellen, die als CVE-2026-109618 und CVE-2026-109619 verfolgt werden, ermöglichen es Angreifern, Code auf verwundbaren Servern auszuführen, ohne sich anmelden zu müssen. Laut Amazon kursierten Proof-of-Concept-Exploits bis 2:00 UTC am 21. Oktober – etwa 12 Stunden vor der offiziellen Veröffentlichung der Patches. „PHP2Shell wird derzeit weit verbreitet im Internet ausgenutzt“, schrieb Moses. Er erklärte auch, warum das Zeitfenster kleiner wird: „KI-Analyse macht es günstiger, einen Patch oder eine Empfehlung in einen funktionierenden Exploit zu verwandeln.“

Die Schwachstellen wurden von Wiz, einem Unternehmen im Besitz von Alphabet, mit seinem proprietären KI-Tool sowie Googles Gemini 4 Argon und OpenAI's GPT-5.6 Sol entdeckt. Laut Wiz reichen die Schwachstellen bis zu PHP 5.4 zurück und sind seit über einem Jahrzehnt im Code verborgen. „Die Anwendung des PHP-Sicherheitsupdates bleibt der einzige vollständige Weg, das Problem zu beheben“, bemerkte das Unternehmen.

Organisationen, darunter das Nationale Cyber-Sicherheitszentrum der Niederlande, der Hafen von Rotterdam, das Overheid nl-Portal und mehrere Krankenhäuser, schalteten am 21. Oktober vorübergehend Websites ab. Um 14:00 UTC desselben Tages veröffentlichte PHP gepatchte Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

Laut W3Techs wird PHP auf etwa 75% der Websites mit einer erkennbaren Programmiersprache verwendet. In der Zwischenzeit schätzt Censys, dass von 2,6 Millionen Hosts etwa 1,5 Millionen (ca. 58%) eine PHP-Version ohne verfügbaren Patch ausführen – sie können nicht einfach gepatcht werden und erfordern ein vollständiges Upgrade auf eine neuere Version.

Laut Tiffany Farriss, interimistische CEO der Drupal Association, „werden alle Server, die eine in den letzten 20 Jahren veröffentlichte PHP-Version verwenden, anfällig sein.“ Costa Raju, Mitbegründer von TLP:Black, warnte, dass die nächste Phase zu einem „massiven Kompromiss jedes verwundbaren Webservers im Internet“ führen könnte.

Cloudflare berichtete, dass Angreifer begonnen haben, Payloads zu ändern, um Filter zu umgehen. Für diejenigen, die PHP 8.2 oder älter verwenden, wird empfohlen, ein Upgrade zu planen: Der Support für PHP 8.2 endet am 31. Dezember.