„Das ist jetzt bestätigte RCE mit nutzbarer Speicheroffenlegung, nicht bloß ein Absturz gefolgt von einem verdächtigen Prozess. Die Antwort lieferte einen 800 KiB großen dekodierten Cookie-Dump, und eine aus diesem Dump mit den Offsets des öffentlichen Exploits abgeleitete Funktionsadresse taucht in der nachfolgenden Ausführungs-Payload auf", erklärte Karimi. „Der Client bestätigte die vollständige Antwort; der Shell-Befehl lief dann rund 1,6 ms nach dem letzten erfassten Byte der Ausführungsanfrage."

Bestätigt wurden Karimis Beobachtungen von Marcus Hutchins, Threat Researcher bei Expel, der eine Reihe angeblicher erfolgreicher PHP2Shell-Angriffe verfolgt. „Das ist mit Abstand die hochwertigste Bestätigung einer PHP2Shell-Ausnutzung in freier Wildbahn, die ich bislang gesehen habe. Eine tiefgehende technische Aufschlüsselung eines erfolgreichen Ausnutzungsversuchs gegen eine Apache-mod_php-Installation mit PHP 8.4.26", sagte Hutchins.

Das PHP-Sicherheitsteam hatte die PHP2Shell-Lücken am Mittwoch, dem 21. Oktober, geschlossen – einen Tag nachdem es Administratoren aufgefordert hatte, sich auf die sofortige Installation der Updates vorzubereiten. Details zu den Schwachstellen, darunter die CVE-IDs sowie Hinweise zur Risikominderung, die einigen Betreibern kritischer Infrastrukturen zur Verfügung gestellt worden waren, waren vorab online durchgesickert; auch einige Proof-of-Concept-Exploits erschienen vor Veröffentlichung der Patches. Nach Angaben des PHP-Sicherheitsteams funktionierte keiner davon.

Mehrere Sicherheitsfirmen – darunter Cloudflare, Hadrian, watchTowr, Previdian und Patchstack – hatten bereits vor der öffentlichen Bekanntgabe Ausnutzungsversuche registriert, stuften diese aber durchweg als erfolglos ein. Forscher von Amazon Threat Intelligence beobachteten Angreifer, die es vier Tage vor Erscheinen der Patches auf die PHP2Shell-Lücken abgesehen hatten. Bis zu Karimis Fund beschränkte sich die Aktivität laut dem Team Threat Research and Cyber Engineering (TRACE) von Dataminr jedoch „auf Scanning, Fingerprinting und den Einsatz nicht funktionierender Exploits, ohne bekannte Kompromittierungen".

Am Freitag veröffentlichte das PHP-Sicherheitsteam zudem Gegenmaßnahmen für eine weitere RCE-Schwachstelle (CVE-2026-115560), für die bislang kein Patch existiert. Sie lässt sich nur gegen Systeme „mit einer ungewöhnlichen Kombination aus Konfiguration und Anwendungscode" ausnutzen. Bis zum Erscheinen eines Patches raten die PHP-Entwickler, session.upload_progress.enabled=0 zu setzen – eine Maßnahme, die bereits vor den PHP2Shell-Patches empfohlen wurde.

PHP wird auf rund 70 Prozent aller Websites im Internet eingesetzt. Nach aktuellen Schätzungen von VirusTotal sind mehr als 5,1 Millionen PHP-Hosts online erreichbar, etwa 3,8 Millionen davon mit mindestens einem angreifbaren offenen Port.