Nach Angaben von Unit 42 bauten die Angreifer bei dem Vorfall in Europa zudem einen NTLM-Relay-Tunnel ins Active Directory auf und versuchten, Domänenadministrator-Rechte zu erlangen. Der unbekannte Akteur habe den kompromittierten Endpunkt systematisch durchleuchtet; Befehle und Verhaltensmerkmale deuteten auf einen agentischen Angreifer hin. Dazu zählen:
- Auskundschaften der Authentifizierungsdatenbank mit gestohlenen Zugangsdaten, gezielt nach Passwort-Hashes und 2FA-Geheimnissen
- Active-Directory-Aufklärung über curl-basierte anonyme LDAP-Abfragen an den Domänencontroller auf der Suche nach dem Administratorkonto
- Aufklärung des Hosts nach DNS/AD-Integration, internen Hosts, privilegierten Gruppen und interaktiven Benutzern
Auffällig ist laut Unit 42 die Form der Ausgabe: „Jeder Befehlsblock ist in Abschnittskopf-Trennzeichen eingefasst, etwa ==SHELLUSER== und ==PASSWD==." Diese Trennzeichen erzeugten maschinell auswertbare Ausgaben, die ein KI-Modell lesen könne.
CYFIRMA berichtet unterdessen von einer mutmaßlich mit Nordkorea verbundenen Kampagne, die PHP2Shell nutzt, um von 21 kompromittierten Knoten aus global PHP-Infrastruktur zu sondieren. „Das Scannen erfolgt bewusst in geringem Volumen und getaktet", sagte Kumar Ritesh, CEO und Gründer von CYFIRMA. „Knoten werden rotiert und beim ersten Anzeichen von Blockaden oder Rate-Limiting aufgegeben, sodass schwellenwertbasierte Alarmierung sie kaum erfasst."
Im Visier stehen demnach 216 ungepatchte oder nur teilweise abgesicherte Hosts in den USA, Japan, Südkorea, Thailand, Indonesien, Australien, Taiwan, Indien, Singapur, den Vereinigten Arabischen Emiraten, Saudi-Arabien und der EU. Betroffen sind Behörden, Finanzinstitute, Logistik, Flughäfen und Luftfahrt, Fertigung sowie Plattformen für Online-Transaktionen. „Die Kampagne hat sich von der Aufklärung zu aktivem, langsamem Scannen eines gefilterten Zielsatzes weiterentwickelt", so CYFIRMA. Organisationen in den priorisierten Branchen und Regionen sollten davon ausgehen, gezielt ins Visier genommen zu werden.
Die über einen geschlossenen I2P-Kanal koordinierte Aktivität wird mit mittlerer Zuversicht einem koreanischsprachigen Operator zugeschrieben, der dem Umfeld der Lazarus Group zugerechnet wird. Zwei in dem Kanal aktive Handles — 전창혁 2 (Jeon Chang-hyuk 2) und 최아린 (Choi A-rin) — seien zuvor bereits bei verdeckten Operationen für die Akteure beobachtet worden. „Koreanischsprachige Operatoren haben den Kanal genutzt, um Ziellisten, Infrastruktur zum Hosten von Exploits sowie Aufgabenverteilung und Priorisierung im Einklang mit Zielen der DVRK auszutauschen", sagte Ritesh. „Das aufgezeichnete Gespräch verwendet Vokabular und Schreibweisen, die für das nordkoreanische Munhwaŏ typisch sind, nicht für den südkoreanischen Standard."
Weitere Indikatoren, die die Kampagne mit dem Lazarus-Cluster verknüpfen:
- Command-and-Control-Infrastruktur, die Lazarus zuvor zur Ausnutzung von Web-Assets verwendet hat
- Lazarus’ dokumentierte Historie, PHP- und WordPress-Server für C2 zu kompromittieren und PHP- sowie ASP-Webshells zu platzieren, wie in der Watering-Hole-Kampagne SyncHole beobachtet
- Die Priorisierung von Behörden und Banken, speziell Online-Transaktionsplattformen, passend zur Bilanz der Gruppe bei Angriffen auf Finanzinstitute zum Diebstahl von Geld und Kryptowährung
„Ausnutzung ist der nächste Schritt", so CYFIRMA. Die Operatoren hätten erklärt, noch am selben Tag die aussichtsreichsten Ziele auszuwählen und dann zu entscheiden, welche öffentlichen Exploits sie anpassen.
Defused Cyber meldete in einem Beitrag auf X vom 25. Oktober 2026, ebenfalls PHP2Shell-Sondierungen gegen eigene Honeypots mit Palo Alto Networks GlobalProtect zu sehen. Die Aktivität stammt von der IP-Adresse 204.76.203[.]7, die als Massen-Exploit-Adresse bekannt ist. „Die Anfragen tragen einen PHP_SESSION_UPLOAD_PROGRESS-Marker (‘p2s-rider’) und einen Dummy-Datei-Upload ohne Payload — das deutet darauf hin, dass jemand das verwundbare Upload-Progress-Verhalten prüft und vermutlich eine Zielliste von Palo-Alto-Geräten aufbaut", so das Unternehmen.
Beide Schwachstellen sind als kritisch eingestuft und können in PHP-Standardkonfigurationen zu Remote Code Execution führen. Cloudflare registrierte nach der öffentlichen Offenlegung Millionen von Ausnutzungsversuchen.
Zur Technik erklärte Datadog: „Ein Angreifer steht vor zwei Hauptbeschränkungen: Er muss eine Anfrage so bemessen, dass die Speicherzuweisung im richtigen Moment fehlschlägt, und er muss ASLR überwinden, um gültige Speicheradressen zu finden." Der Exploit brauche einen Feldnamen, der klein genug sei, um in den akzeptierten Anfragekörper zu passen, aber groß genug, dass das Kopieren seines Schlüssels das memory_limit überschreite. Beim Parsen eines Formularfeldnamens lege PHP mehrere Kopien an; diesen zusätzlichen Speicherverbrauch nutze der Angreifer, um einen Zuweisungsfehler zu erzwingen, während PHP den Namen in eine Hash-Tabelle kopiert.
ReliaQuest hat CVE-2026-109618 in einer kontrollierten Laborumgebung nachgestellt und in einer Aktualisierung vom 22. Oktober 2026 eine Fehlersequenz beschrieben, die der Erkennung dienen kann: „Diese Tests identifizierten eine bestimmte Abfolge von Artefakten in PHP-Fehler-, Apache-Zugriffs-, Apache-Fehler- und Systemprotokollen, die Verteidigern helfen kann, eine Ausnutzung zu erkennen." Verteidiger sollten auf die Folge achten: Eine POST-Anfrage liefert einen 500er-Fehler, PHP meldet Speichererschöpfung und Heap-Korruption, und der die Anfrage bearbeitende Apache-Worker stürzt ab.
Die PHP Foundation warnt inzwischen vor einer dritten Schwachstelle für Remote Code Execution (CVE-2026-115560), die nur „bei einer ungewöhnlichen Kombination aus Konfiguration und Anwendungscode" auftreten kann. Die Behebung ist im regulären Release-Zyklus vorgesehen. Laut der Foundation muss eine Anwendung dafür session.serialize_handler in ihrer Konfiguration auf php_binary oder php_serialize setzen und ihn zur Laufzeit mit ini_set() vor dem Aufruf von session_start() auf php umstellen; zudem muss Session Upload Progress weiterhin aktiviert sein. Anwendungen, die den Serialize-Handler zur Laufzeit nie ändern, können die Funktion aktiviert lassen.
Xint hat einen Scanner veröffentlicht, mit dem sich prüfen lässt, ob ein Host für PHP2Shell anfällig ist. Nach Angaben des Unternehmens ist Remote Code Execution in jedem PHP-Skript unabhängig von der Anwendung möglich sowie in Anwendungen, in denen Dekodierung stattfindet, etwa über session_start() und unserialize().
Wie groß die Angriffsfläche ist, zeigen internetweite Scans von Bitsight: Knapp 37 Millionen aus dem Internet erreichbare Systeme betreiben PHP oder PHP-nahe Software, die meisten Expositionen entfallen auf die USA, Deutschland, Frankreich, die Niederlande und Japan. „PHP betreibt einen sehr großen Teil des Web, von Content-Management-Systemen und Online-Shops bis zu maßgeschneiderten internen Werkzeugen", so Bitsight. „Ein Fehler in der Laufzeitumgebung lässt sich nicht durch Änderungen am Anwendungscode reparieren, und weder eine Web Application Firewall noch ein Plugin-Update beseitigt ihn. Nur ein Update von PHP auf dem Host selbst schließt die Lücke."