KW 44/2026: PHP2Shell, Appliance-Lücken und E-Commerce-Skimming prägen die Woche

Überblick und Einordnung der Woche

Das Lagebild fällt angespannter aus als in der Vorwoche: Es sind spürbar mehr neu als ausgenutzt eingestufte Schwachstellen hinzugekommen, und sie verteilen sich nicht auf exotische Nischenprodukte, sondern auf Technik, die in nahezu jedem Rechenzentrum steht — PHP als Laufzeitumgebung des Webs, Firewalls und VPN-Gateways am Perimeter, der Linux-Kernel als Fundament darunter sowie E-Commerce-Plattformen und Entwicklungsinfrastruktur.

Der rote Faden der Woche heißt PHP2Shell. Der Angriffsbaustein taucht gleich in mehreren Meldungen auf: einmal im Zusammenhang mit Angriffen auf Netzwerk-Appliances und deren Management-Oberflächen, einmal in Angriffsketten, die zusätzlich eine Linux-Kernel-Schwachstelle einbinden. Damit zeichnet sich ein Muster ab, das Verteidiger ernst nehmen sollten: Der Erstzugang erfolgt über exponierte Web- und Verwaltungsoberflächen, die Rechteausweitung anschließend lokal über den Kernel. Jede Stufe für sich ist unangenehm, in Kombination ergibt sich eine vollständige Übernahme.

Zweiter Schwerpunkt ist der E-Commerce-Bereich. Eine breit angelegte Infektionswelle gegen Onlineshops, überwiegend auf Magento-Basis, verteilt einen JavaScript-Loader, der sich gängigen Scannern entzieht. Parallel dazu steht eine Upload-Schwachstelle in Adobe Commerce und Magento im Fokus — die thematische Nähe zwischen Plattformlücke und Skimming-Kampagne ist offensichtlich.

Drittens bleibt die Ransomware-Lage unverändert aktiv. Mehrere Gruppen veröffentlichen kontinuierlich neue Einträge auf ihren Leak-Seiten, darunter auch Einrichtungen aus dem deutschsprachigen Raum. Von einer Entspannung kann keine Rede sein; das Geschehen verteilt sich lediglich auf mehr Akteure als noch vor einiger Zeit.

Schwachstellen und ausgenutzte Sicherheitslücken

Am schwersten wiegen die beiden PHP-Schwachstellen. CVE-2026-109618 beschreibt eine Speicherkorruption im Out-of-Memory-Zustand, die unauthentifizierte Remote-Code-Execution erlaubt. CVE-2026-109619 setzt an einem veralteten internen Request-State an und führt ebenfalls zu unauthentifizierter Codeausführung. Beide Lücken betreffen die Sprachlaufzeit selbst, nicht eine einzelne Anwendung — das heißt, der Kreis potenziell verwundbarer Systeme umfasst praktisch jeden PHP-basierten Webdienst, vom Shop über das CMS bis zur Verwaltungsoberfläche einer Appliance. Genau diese Reichweite macht PHP2Shell zum dominanten Thema der Woche.

Flankiert wird das durch CVE-2026-111497 in Google Brotli. Ein ungeprüfter Rückgabewert erlaubt es einem entfernten, nicht authentifizierten Angreifer, benachbarte Strukturen im Decoder zu korrumpieren. Brotli steckt als Kompressionsbibliothek in Webservern, Browsern und Proxys und ist den meisten Betreibern nicht als eigenständige Komponente bewusst — Abhängigkeitsketten sollten hier gezielt geprüft werden, da ein Update des Hauptprodukts nicht zwingend die mitgelieferte Bibliothek erneuert.

Am Perimeter betrifft CVE-2026-111357 Ivanti Connect Secure: eine fehlende Authentifizierung für eine kritische Funktion, ausnutzbar durch einen lokal authentifizierten Angreifer. Die Aufnahme von Ivanti-Lücken in den KEV-Katalog der CISA unterstreicht, dass hier nicht theoretisch diskutiert, sondern bereits angegriffen wird. VPN-Gateways bleiben ein bevorzugtes Ziel, weil sie per Definition aus dem Internet erreichbar sind und zugleich tiefen Netzzugang vermitteln.

Ebenfalls im Perimeter angesiedelt ist CVE-2026-76418 in Cisco Secure Firewall ASA Software und Cisco Secure FTD Software. Ein ungeprüfter Rückgabewert mündet in eine NULL-Pointer-Dereferenzierung. Solche Fehler führen typischerweise zum Absturz und damit zum Ausfall der Firewall — in einer Angriffskette ein wirksames Mittel, um Schutzfunktionen und Protokollierung gezielt lahmzulegen.

CVE-2026-46300 im Linux-Kernel beruht auf einer nicht initialisierten Variablen und erlaubt die unbeabsichtigte Veränderung von Page-Cache-gestützten Daten. Unter dem Namen „Fragnesia“ warnt die CISA ausdrücklich vor dem Einsatz dieser Lücke in Angriffsketten gemeinsam mit PHP2Shell — damit ist der Weg vom Webserver-Prozess zu Systemrechten konkret dokumentiert und nicht länger hypothetisch.

CVE-2026-48356 betrifft Adobe Commerce und Magento: Der unbeschränkte Upload von Dateien gefährlichen Typs ist der klassische Einstieg für Webshells und für das Einschleusen manipulierter Skripte in den Checkout-Prozess. Den Entwicklungsbereich trifft schließlich CVE-2026-97229 in GitLab Community und Enterprise Edition, wo ein Integer-Überlauf unauthentifizierten Zugriff ermöglicht. Eine kompromittierte Codeverwaltung ist besonders heikel, weil sie Zugriff auf Quellcode, CI/CD-Pipelines und hinterlegte Geheimnisse bündelt und damit als Sprungbrett in nachgelagerte Produktivumgebungen taugt.

Praktisch bedeutet das für diese Woche: PHP-Laufzeiten patchen, Ivanti- und Cisco-Systeme priorisiert aktualisieren, Shop-Systeme und GitLab-Instanzen auf aktuellen Stand bringen, Kernel-Updates einplanen und Abhängigkeiten auf Brotli prüfen. Wo das nicht sofort möglich ist, sollten Management-Oberflächen konsequent aus dem offenen Internet genommen werden.

Ransomware-Lage

Die Ransomware-Aktivität bleibt auf hohem Niveau und verteilt sich auf eine ganze Reihe von Akteuren. Zu den auffälligsten gehören in dieser Woche unter anderem thegentlemen, Qilin, Booba Project, Whitearmor, SilentRansomGroup, genesis und rhysida — eine Auswahl, keine vollständige Übersicht.

Qilin und rhysida gehören zu den etablierten Namen mit Affiliate-Struktur und breitem Zielspektrum; sie treffen öffentliche Einrichtungen ebenso wie mittelständische Industrie und Dienstleister. SilentRansomGroup steht für die Variante ohne Verschlüsselung: Hier wird ausschließlich exfiltriert und mit der Veröffentlichung gedroht — ein Vorgehen, das klassische Backup-Strategien ins Leere laufen lässt und das Risiko vollständig auf die Vertraulichkeitsebene verlagert. Jüngere Marken wie thegentlemen, Booba Project, Whitearmor und genesis zeigen, dass der Markt für neue Einsteiger weiterhin offen ist; Leak-Seiten lassen sich mit geringem Aufwand aufsetzen, und Zugänge sind über Zwischenhändler beschaffbar.

Bemerkenswert ist der Zusammenhang zum Schwachstellenteil: Die bevorzugten Einstiegswege dieser Akteure sind genau jene Systeme, die diese Woche im Fokus stehen — VPN-Gateways, Firewalls, exponierte Webanwendungen. Zwischen der Veröffentlichung einer ausnutzbaren Perimeter-Lücke und dem Auftauchen entsprechender Opfer auf Leak-Seiten liegt erfahrungsgemäß wenig Zeit. Unter den betroffenen Organisationen finden sich auch Einrichtungen aus dem deutschsprachigen Raum; Branchennamen und Regionen sind hier aussagekräftiger als Einzelfälle.

Für Verteidiger heißt das konkret: Offline- und unveränderliche Backups sind notwendig, aber gegen reine Exfiltrationsgruppen nicht hinreichend. Ergänzend braucht es Überwachung ungewöhnlicher ausgehender Datenmengen, konsequente Segmentierung und eine realistische Einschätzung, welche Daten im Falle einer Veröffentlichung tatsächlich schaden würden.

Bemerkenswerte Vorfälle und Themen der Woche

Der InfraTrust-Bericht zu Angriffen auf Netzwerk-Appliances liefert die analytische Klammer: Angreifer zielen systematisch auf Management-Oberflächen und setzen dort PHP2Shell ein. Dass Verwaltungszugänge von Sicherheitsprodukten selbst zur Angriffsfläche werden, ist die unbequemste Erkenntnis — ausgerechnet die Geräte, die Netze schützen sollen, sind häufig schlecht gepatcht, unzureichend überwacht und zu oft aus dem Internet erreichbar.

Die zweite große Meldung betrifft die Infektion zahlreicher Onlineshops mit einem JavaScript-Loader, der gezielt gegen Scanner gehärtet ist; betroffen sind überwiegend Magento-Installationen. Der Schadcode läuft im Browser der Kunden und greift Zahlungs- und Zugangsdaten direkt im Bezahlvorgang ab. Da die Shop-Server technisch unauffällig weiterlaufen, bleiben solche Kampagnen oft lange unentdeckt. Serverseitige Scans allein reichen nicht — notwendig sind Integritätsprüfungen der ausgelieferten Frontend-Skripte sowie strikte Content-Security-Policies.

Die Aufnahme zweier aktiv ausgenutzter Lücken in Ivanti Connect Secure in den KEV-Katalog der CISA ist die dritte zentrale Entwicklung. Der Katalog gilt faktisch als Priorisierungsmaßstab auch jenseits der US-Behördenlandschaft; ein Eintrag bedeutet belegte Ausnutzung in freier Wildbahn und sollte in jedem Patch-Prozess sofort nach oben rutschen.

Schließlich die CISA-Warnung vor der Linux-Lücke „Fragnesia“ in Angriffsketten mit PHP2Shell. Sie schließt den Kreis zu den Appliance-Angriffen und beschreibt den vollständigen Pfad: Webzugang über die PHP-Ebene, Rechteausweitung über den Kernel, anschließend dauerhafte Präsenz im Netz. Wer diese Woche Prioritäten setzen muss, findet in dieser Kette die klarste Begründung für die Reihenfolge — Perimeter und PHP zuerst, Kernel unmittelbar danach, Shop- und Entwicklungsinfrastruktur parallel.