PHP2Shell: Angriffe starteten vier Tage vor dem Patch
Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.
Die Angreifer:innen waren schneller als die Entwickler:innen: Laut Amazon wurde die PHP-Lücke PHP2Shell schon ausgenutzt, als sie offiziell noch gar nicht bekannt war.
Amazon Threat Intelligence meldet, dass der erste Angriffsversuch bereits am Samstag vor dem Patch erfolgte. Er traf ein Honeypot-System des Konzerns und kam von einer anonymisierten IP-Adresse, während die Lücke noch unter Embargo stand. Wie der Angreifer vorab an Informationen kam, ist laut Amazons Analyse unklar. Amazon rät dazu, verdächtige Aktivitäten bis zum 17. Oktober zurückzuverfolgen.
Von Tausenden auf Millionen
Am Mittwoch, dem Tag der Patches, setzte dann der Ansturm ein. Laut Cloudflare-Chef Matthew Prince gab es in den zehn Stunden vor der Veröffentlichung tausende Versuche, binnen 45 Minuten danach zehntausende und nach zwei Stunden hunderttausende. Inzwischen sind es Millionen. Cloudflare berichtet außerdem, dass Angreifer:innen ihre Payloads laufend verändern, um die Firewall-Regeln zu umgehen. Amazon vermutet mehrere Akteur:innen und spricht von einer breiten Ausnutzung in freier Wildbahn, kann aber nicht sagen, wie viele Angriffe erfolgreich waren.
Die Gegenposition: Bisher wenig Belege für erfolgreiche Einbrüche
Der Sicherheitsdienstleister Dataminr beschreibt die beobachtete Aktivität in seiner Analyse als Scans, Fingerprinting und nicht funktionierende Exploits. Bekannte Kompromittierungen gebe es keine, allerdings sei es nur eine Frage der Zeit, bis funktionierende Exploits auftauchen. Wordfence meldet mehr als 74.000 blockierte Angriffs- und Scan-Versuche und bisher keine bestätigten Einbrüche bei seinen über fünf Millionen WordPress-Seiten.
Wer jetzt noch ungeschützt ist
Gepatcht wurden nur PHP 8.5, 8.4, 8.3 und 8.2, und zwar auf die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Für PHP 8.1 und älter gibt es keine offiziellen Updates, dort bleibt nur der Umstieg oder ein Patch des Hosting- oder Linux-Anbieters. Laut VulnCheck laufen mindestens eine Million aus dem Internet erreichbare Server auf Versionen ohne Sicherheitsupdates. Der Branchenverband Bitkom weist darauf hin, dass bei sehr alten Systemen unter Umständen ein vollständiges Systemupdate nötig ist.
In Österreich hatten am Mittwoch zahlreiche Organisationen ihre Websites vorsorglich vom Netz genommen, wie wir bereits berichtet haben. Weitere Meldungen kamen aus Niederösterreich, etwa vom Land und der FH Wiener Neustadt. Wer selbst PHP betreibt, sollte sofort aktualisieren oder den Server bis dahin vom Netz nehmen.
