RCE-Welle und Supply-Chain-Chaos: Die Schonfrist ist vorbei
Kritische RCE-Lücken wie PHP2Shell und Node2Shell werden massiv ausgenutzt. Angreifer nutzen KI-Agenten für Post-Exploitation. Besonders Industrieinfrastruktur und Mittelstand im DACH-Raum sind betroffen.
RCE-Lücken und KI-gestützte Angriffe: Die zweite Welle rollt an
Die zweite Oktoberhälfte 2026 hat eine Serie kritischer Remote-Code-Execution-Lücken (RCE) offengelegt, die nicht mehr in der Phase theoretischer Scanning-Aktivitäten stecken. Laut The Hacker News werden Lücken wie PHP2Shell (CVE-2026-109618) und die damit verbundenen Folgefehler bereits aktiv ausgenutzt — nicht nur in Probes, sondern mit funktionsfähigen Webshells. Am 24. Oktober gelang es Angreifern, von zwei IP-Adressen aus 35 aktive Shells gegen Honeypots zu starten, wie SecurityWeek berichtet. Diese Eskalation signalisiert den Übergang von Aufklärung zur koordinierten Kompromittierung.
Das Spektrum betroffener Systeme ist breit: Heise Security dokumentiert Angriffe auf Collabora und Nextcloud-Server, bei denen Angreifer Webshells installieren. Gleichzeitig berichten Industrieanbieter wie Siemens, Schneider Electric und ABB von PHP2Shell-Anfälligkeit in ihren Produktlinien. Parallel dazu zeigt sich eine zweite RCE-Front: Node2Shell, eine Out-of-Bounds-Write-Lücke im Brotli-Decoder von Google, betrifft nicht nur Node.js, sondern auch .NET, PowerShell und Python-Pakete. Nach Heise Security und SecurityWeek sind schnelle Updates über alle Ökosysteme hinweg erforderlich.
Besonders bemerkenswert ist die Eskalation der Angriffsmethoden. The Hacker News meldet, dass Bedrohungsakteure nach der PHP2Shell-Kompromittierung agentic artificial intelligence (KI-Agenten) für Post-Exploitation einsetzen. Das bedeutet: Nachdem ein System kompromittiert ist, nutzen Hacker KI-gestützte Werkzeuge, um Seitenkanalangriffsszenarien zu automatisieren, Daten zu exfiltrieren und die Infrastruktur weiter zu durchdringen. Dies dokumentiert eine qualitativ neue Angriffstiefe, die nicht nur mehr Schaden zufügt, sondern auch schneller skaliert.
Warum der DACH-Raum unter Druck steht
Der deutschsprachige Raum ist aus mehreren Gründen besonders exponiert. Erstens: Deutschlands Mittelstand und Industriesektor sind überproportional abhängig von Produkten, die PHP, Node.js, Python oder proprietäre Komponenten nutzen — genau die Ökosysteme, in denen PHP2Shell und Node2Shell ihr Unwesen treiben. Siemens- und Schneider-Electric-Produkte sind in DACH-Fertigungsumgebungen weit verbreitet. Kompromittierungen bedeuten nicht nur Produktionsausfälle, sondern potenziell auch Lieferketten-Störungen, die sich branchenübergreifend auswirken.
Zweitens regelt die DSGVO und das neue KI-Act-Regime in der EU strenge Meldepflichten für Sicherheitsvorfälle. Behörden und Unternehmen, die Kundendaten verarbeiten, müssen nach Artikel 33 DSGVO Datenschutzbehörden innerhalb von 72 Stunden benachrichtigen. Bei PHP2Shell-Kompromittierungen, die auf Datenbankzugriffe hindeuten, ist diese Schwelle schnell erreicht. Die Heise-Einschätzung von Tobias Glemser spricht die zentrale Praxis-Kritik aus: "Die Schonfrist ist vorbei" — es reicht nicht mehr, erst Monate nach Disclosure zu patchen. Kritische RCE-Lücken erfordern Notfallmaßnahmen im Stundenbereich.
Drittens: Die beobachtete KI-gestützte Post-Exploitation stellt eine Herausforderung für traditionelle Incident-Response dar. Europäische Unternehmen müssen jetzt nicht nur RCE-Lücken schließen, sondern auch ihre Netzwerk-Telemetrie und Threat-Hunting-Kapazität ausbauen, um agentic Angriffe zu erkennen. Das erfordert Fachkräfte, die sowohl Netzwerkforensik als auch KI-Sicherheit verstehen — ein Knappheitsmarkt im DACH-Raum.
Der Take-Away: Priorisierung statt Optimismus
Ein einzelner Take-Away: Kritische RCE-Lücken müssen als Notfallpatch-Fall behandelt werden, nicht als normaler Change-Management-Zyklus. Das ist kein neuer Gedanke, aber die Realität der PHP2Shell- und Node2Shell-Welle zeigt, dass viele Organisationen — besonders im Mittelstand — immer noch in einem wöchentlichen oder monatlichen Patch-Rhythmus arbeiten. Das ist nicht ausreichend. Wenn eine RCE-Lücke mit aktivem Exploit im Freien zirkuliert und Angreifer bereits Webshells installieren, muss eine Organisation innerhalb von 24 bis 48 Stunden ein Notfall-Update bereitstellen können. Das bedeutet: Kritische Systeme sollten separiert, versioniert und mit rollback-Plänen ausgestattet sein. Post-Exploitation-Detection (Webshell-Suche, anomale Prozesse, agentic KI-Signaturen) ist keine Kür, sondern Pflicht.
Die Lage ist differenziert: Für KI-Pentesting und Sicherheitsvalidierung sind solche Szenarien ohnehin Standard — die Supply-Chain-Unsicherheit wird dort bereits abgebildet. Für den produktiven Betrieb aber ist der Übergang von Scanning zu Working Shells ein Weckruf.
Mehr zum Thema im Ressort KI-Pentesting.
Quellen
- The Hacker News: Weekly Recap This2Shell That2Shell
- Heise Security: PHP2Shell Die Schonfrist ist vorbei
- The Hacker News: PHP2Shell Exploitation Hits Government Entity
- SecurityWeek: Industrial Vendors Check Products for PHP2Shell Vulnerabilities
- Heise Security: Angriffe auf Arista VeloCloud und Collabora/Nextcloud
- The Hacker News: Gheist Uses Stolen GitHub Tokens
- SecurityWeek: Node2Shell Brotli Flaw
- Heise Security: Brotli-Decoder-Lücke in Node.js Bun und Python
- SecurityWeek: PHP2Shell Exploitation Moves From Probes to Working Shells
Häufige Fragen
Was ist PHP2Shell und wie wird es aktuell ausgenutzt?
PHP2Shell ist eine Lücke (CVE-2026-109618), die Remote Code Execution ermöglicht. Laut Sicherheitsquellen werden damit bereits funktionierende Webshells auf Systemen installiert, nicht nur experimentelle Scans durchgeführt.
Sind auch deutsche Industrieunternehmen von PHP2Shell betroffen?
Ja, Siemens, Schneider Electric und ABB haben bestätigt, dass einige ihrer Produkte anfällig sind. Diese Hersteller sind weit verbreitet in DACH-Fertigungsumgebungen.
Was ist das Besondere an den aktuellen Angriffen?
Angreifer nutzen KI-Agenten für Post-Exploitation, also zur Automatisierung von Folgeschritten nach der initialen Kompromittierung. Das ermöglicht schnelleres Lateral Movement und Datenexfiltration.