„Der Exploit-Versuch stammte von einer IP-Adresse, die einem kommerziellen Anonymisierungsnetzwerk zuzuordnen ist", erklärte CJ Moses, CISO von Amazon Integrated Security. „Während die Schwachstelle unter Embargo stand, legt der Angriff auf einen Honeypot von einer anonymisierten IP-Adresse aus nahe, dass die Aktivität von einem Bedrohungsakteur ausging – unklar bleibt jedoch, wie der Akteur vor der Offenlegung an Exploit-Informationen gelangte." Aufgezeichnet wurde der Versuch laut Amazon von der Adresse 103.216.220[.]92, die geografisch Australien zugeordnet wird.

Die beiden Schwachstellen wurden von Forschern von Calif, OpenAI und dem zu Google gehörenden Unternehmen Wiz entdeckt. Betroffen sind sämtliche PHP-Releases der Serien 7.x und 8.x. Gefährdet ist damit jeder erreichbare PHP-Endpunkt auf einem betroffenen Server, einschließlich statischer Formulare, Login-Routen und Health-Checks.

Nach Darstellung von CrowdStrike hinterlässt ein Angriff über diese Lücken praktisch keine digitalen Spuren. „Es gibt keine Authentifizierung zu umgehen, keine Session zu stehlen und keinen verwundbaren Endpunkt zu finden", so CrowdStrike. „Die Exposition ist unabhängig vom eingesetzten CMS, Framework oder Plug-in." Worker-Prozesse blieben stabil, Antworten lieferten HTTP 200, und Anwendungs-Logs verzeichneten keine Auffälligkeiten, weil nie Anwendungscode ausgeführt werde. Die einzige serverseitige Spur sei ein einzelner Memory-Limit-Fatal im Error-Log des Webservers, der routinemäßig als Rauschen abgetan werde – womit Verteidigern belastbare Web-Telemetrie zur Identifikation kompromittierter Endpunkte fehle.

Ursprünglich war die koordinierte Offenlegung für den 22. Oktober 2026 um 14:00 Uhr UTC geplant. Details zu den CVE-Kennungen und ein Proof-of-Concept-Exploit sickerten jedoch vorab durch, woraufhin die PHP Foundation die Veröffentlichung um einen Tag vorzog. „Beide Probleme sitzen in Teilen von PHP, die nahezu jede Anfrage berührt: Speicherverwaltung und Fehlerbehandlung", erklärte die PHP Foundation. „Ihre zentrale Stellung in PHP machte beide Schwachstellen so schwerwiegend – und zugleich so schwer zu beheben, ohne die Kompatibilität zu brechen, die Performance zu beeinträchtigen oder dem großen Ökosystem von Drittanbieter-Erweiterungen Änderungen aufzuzwingen."

Amazon registrierte mehrere PoC-Exploits für PHP2Shell parallel zum Tag der Patch-Veröffentlichung; der früheste Versuch wurde am 21. Oktober 2026 gegen 2:00 Uhr UTC erfasst. In den folgenden sechs Stunden kamen weitere Ausnutzungsversuche von anonymisierter Infrastruktur hinzu. Die Vielfalt der Payloads und die genutzte Anonymisierungsinfrastruktur deuten nach Einschätzung von Amazon Threat Intelligence darauf hin, dass mehrere Bedrohungsakteure beteiligt sind. Am 21. Oktober 2026 wurden Versuche von folgenden Adressen aufgezeichnet:

  • 31.223.184[.]166
  • 37.19.200[.]5
  • 134.209.159[.]64
  • 103.114.163[.]188
  • 95.217.98[.]37

ELLIO beobachtete die erste PHP2Shell-Anfrage gegen die eigenen Sensoren am 21. Oktober 2026 um 8:36 Uhr UTC – weniger als eine Stunde, nachdem „Chainguard einseitig das Embargo gebrochen und gebaute Images mit dem Fix veröffentlicht hat". Die PHP Foundation dazu: „Chainguard hatte den Patch vorab erhalten, damit die eigenen Nutzer im Moment der Offenlegung aktualisieren konnten. Jeder Angreifer konnte den Fix nun in Binärform studieren, während alle anderen PHP-Nutzer noch auf das Release warteten. Das missachtete wochenlange Arbeit vieler Beteiligter an einer koordinierten Offenlegung."

Die Schwere der Lücken hat Warnungen internationaler Sicherheitsbehörden ausgelöst, darunter das britische National Cyber Security Centre (NCSC) und die US-Behörde CISA, die Organisationen drängen, die Fixes schnellstmöglich einzuspielen oder betroffene Systeme vom Netz zu nehmen. „Überwachen Sie Webserver auf verdächtige Aktivitäten, etwa PHP-Prozesse, die unerwartet Kommando-Shells starten oder Dateien herunterladen", schrieb das FBI auf X. „Stellen Sie sicher, dass geeignete Prozessüberwachung vorhanden ist, um mögliche Ausnutzung zu erkennen." Die NSA wies in einer ähnlichen Warnung darauf hin, dass die Schwachstellen Angreifern einen direkten Weg zum Dateisystem oder zur Datenbank des Servers eröffnen können. OpenAI bezeichnete die Fehler als „eines der folgenreichsten Sicherheitsprobleme der jüngeren Zeit" und hat eine Codex-Skill veröffentlicht, mit der sich prüfen lässt, ob eine Website oder eine lokale PHP-Binärdatei für PHP2Shell anfällig ist.

Angesichts der Verbreitung von PHP ist die Angriffsfläche enorm. „PHP wird von fast 70 % der Websites genutzt", so Cloudflare. „Die php2shell-Schwachstellen betreffen die PHP-Laufzeitumgebung selbst und können es Angreifern erlauben, Schadcode auf verwundbaren Servern auszuführen, Kundendaten offenzulegen oder Dienste zu stören. Da PHP weit verbreitete Plattformen wie WordPress und Magento trägt, könnten diese Fehler potenziell eine große Zahl von Anwendungen im Internet betreffen."

VulnCheck identifizierte PHP auf 2.608.039 aus dem Internet erreichbaren Hosts. Davon laufen über 700.000 Hosts mit PHP 3.x bis 7.3, rund 400.000 mit den Versionen 7.4, 8.0 oder 8.1 und 403.000 mit den unterstützten Zweigen 8.2 bis 8.5. Modat zählte zum 20. Oktober 2026 4,38 Millionen aus dem Internet erreichbare PHP-Dienste, von denen 79 Prozent – etwa 3,47 Millionen – auf einem nicht mehr unterstützten Zweig (4.x, 5.x, 7.x, 8.0 oder 8.1) laufen. Auf PHP 7.4, das 2022 das Supportende erreichte, entfallen 878.761 Dienste, gefolgt von PHP 5.3 mit 486.684 und PHP 7.2 mit 461.965 Diensten.

„PHP ist eine extrem populäre Sprache und trägt große Teile des Internets", sagte Ilkka Turunen, Field CTO bei Sonatype. „Die unmittelbare Priorität ist klare Verantwortlichkeit: zu wissen, wo PHP über Dienste und Produkte hinweg eingesetzt wird, wer für die Behebung zuständig ist und wie schnell Fixes ausgerollt werden können." Es sei wahrscheinlich, dass es einen langen Ausläufer an Umgebungen gebe, die den Patch noch einspielen müssten, da PHP in viele Betriebssystemdistributionen eingebettet und in zahlreichen historischen Umgebungen zu finden sei.

Weitere Entwicklungen:

  • Die WebOps-Plattform Pantheon hat nach eigenen Angaben über 60.000 verdächtige Anfragen blockiert, die die Schwachstelle sondierten.
  • VulnCheck identifizierte zwei Hosts – 85.11.167[.]243 und 45.198.224[.]169 – mit dem User-Agent „php2shell-scan/109618", die CVE-2026-109618 gegen die eigenen Honeypots einsetzten; 109.71.252[.]97 nutzte beide Lücken.
  • Cloudflare beobachtete Angriffsverkehr gegen eigene Kunden, wobei Akteure „die Angriffs-Payload mutieren, um unsere Schutzmechanismen zu umgehen, indem sie die Zahl der Treffer verfolgen und mit der Regel-Logik abgleichen".
  • CloudLinux hat korrigierte Pakete für ea-php52 bis ea-php85 sowie jede alt-php-Version veröffentlicht.

Zusätzliche Hinweise und Gegenmaßnahmen haben zahlreiche Sicherheits- und Softwareanbieter publiziert, darunter Akamai, Amazon Web Services (AWS), Arctic Wolf, Automattic, Cisco Talos, Corelight, CyCognito, Fastly, Google Cloud, Hadrian, Imperva, Kaspersky, Microsoft Azure, NetSPI, Orca Security, OX Security, Palo Alto Networks Unit 42, Pentest Tools, Rapid7, ReliaQuest, SOCRadar, Searchlight Cyber, Sophos, Tanium, Vercel, watchTowr und Zscaler.

„Die Zeit vom Patch bis zum funktionierenden Exploit schrumpft aus strukturellen Gründen", sagte Moses. „Früher kam die meiste von uns beobachtete Ausnutzung erst nach der Veröffentlichung eines öffentlichen Proof of Concept. Eine kleine Zahl fähiger Akteure baute Exploits, alle anderen warteten auf sie." Diese Abhängigkeit schwäche sich ab: „KI-gestützte Analyse macht es billiger, aus einem Patch-Diff oder einem Advisory einen funktionierenden Exploit zu machen. Dadurch können mehr Akteure innerhalb von Stunden oder sogar Minuten handeln, sobald technische Details einer Schwachstelle offengelegt werden."