CISA warnt: PHP2Shell-Lücken werden aktiv ausgenutzt

Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) hat am Montag die aktive Ausnutzung der kürzlich gepatchten PHP2Shell-Sicherheitslücken bestätigt und diese in ihre Liste der Known Exploited Vulnerabilities aufgenommen. Das Bestätigungs-Listing markiert einen kritischen Punkt in der Angriffslandschaft: Während Angreifer zunächst nur Sondierungsversuche durchführten, zeigten sich in der darauffolgenden Woche bereits erfolgreiche Shell-Deployments. Wie SecurityWeek berichtet, gelang es Angreifern von zwei IP-Adressen am 24. Oktober, 35 funktionierende Shells gegen Honeypots zu starten und damit die Lücke nicht nur theoretisch, sondern in der Praxis ausnutzbar zu machen.

Die PHP2Shell-Flaws entstehen durch eine Out-of-Bounds-Write-Schwachstelle im Brotli-Decoder von Google, die auch unter dem Namen Node2Shell bekannt ist. Die Lücke betrifft nicht nur Node.js, sondern wie Heise Security berichtet, auch Python-, .NET- und PowerShell-Pakete sowie weitere Software wie Bun. PHP selbst musste bereits zweimal in fünf Tagen ein Windows-Security-Update herausgeben, um CVE-2026-111497 zu beheben. Angreifer können die Schwachstelle nutzen, um Speicher zu korrumpieren und damit Remote Code Execution (RCE) zu erzielen – eine der kritischsten Angriffsszenarien überhaupt. Für betroffene Systeme bedeutet das worst-case Szenario: Vollständige Kompromittierung mit uneingeschränkten Zugriff auf Prozesse, Daten und Systemressourcen.

Die industrielle Supply Chain ist erheblich betroffen. Neben den bereits erwähnten Herstellern Siemens und Schneider Electric hat auch ABB und weitere Industrieanbieter bestätigt, dass ihre Produkte durch die Brotli-Lücke gefährdet sind. Das ist kein Zufall: Viele dieser Softwarelösungen basieren auf oder integrieren Open-Source-Komponenten wie dem Brotli-Codec, um Datenkompressionsprobleme zu lösen. Ein zentrales Problem liegt in der Verbreitungsgeschwindigkeit der Patches und der praktischen Umsetzung in heterogenen Industrieumgebungen.

Warum für DACH relevant

Im deutschsprachigen Raum ist die Relevanz von PHP2Shell für Unternehmen unmittelbar. Deutschland und die Schweiz sind Schwerpunkte von Mittelstandsunternehmen in den Bereichen Industrie 4.0, Maschinenbau und Automatisierung, wo Siemens- und Schneider-Electric-Lösungen weit verbreitet sind. Zusätzlich laufen Millionen von PHP-Webservern in DACH auf gehosteten Plattformen, in Rechenzentren und im Eigenbestand von Unternehmen – viele davon noch immer mit älteren oder suboptimal gepatchten PHP-Versionen.

Die DSGVO spielt hier eine zentrale Rolle. Bei erfolgreicher RCE-Ausnutzung auf Webservern oder Produktivsystemen ist nicht nur die Integrität und Verfügbarkeit gefährdet, sondern auch der Zugriff auf Personendaten. Ein Datenschutzvorfall dieser Art muss innerhalb von 72 Stunden an die Aufsichtsbehörde gemeldet werden – eine Benachrichtigungspflicht, die erhebliche rechtliche und finanzielle Konsequenzen nach sich zieht. Unternehmen, die geschäftskritische Systeme betreiben, müssen davon ausgehen, dass Angreifer nicht nur Testversuche durchführen, sondern bereits produktive Shells bereitstellen.

Zusätzlich kommt der EU AI Act ins Spiel: Cloudflare warnt in diesem Zusammenhang, dass KI-gestützte Code-Analyse gerade massive Durchsuchungen aller verfügbaren Softwarebestände ermöglicht. Laut Cloudflares Einschätzung ist damit zu rechnen, dass noch jahrelang ähnlich schwerwiegende Sicherheitslücken wie PHP2Shell entdeckt werden. Das bedeutet für Unternehmen im DACH-Raum: Patches dürfen nicht mehr als optional behandelt werden, sondern müssen Teil einer strukturierten Vulnerability-Management-Strategie sein. Die Schonfrist ist vorbei – wie bereits berichtet, herrscht nun auch RCE-Welle und Supply-Chain-Chaos bei anderen Sicherheitslücken.

Was du jetzt tun/wissen solltest

Die zentrale Erkenntnis lautet: Passive Monitoring ist nicht länger ausreichend. PHP2Shell zeigt, dass der Übergang von theoretischer Ausnutzbarkeit zu funktionierenden Shells im Produktivbetrieb innerhalb von Tagen möglich ist. Das bedeutet, dass der Patch-Zyklus nicht länger eine Frage von Wochen sein kann, sondern in kritischen Fällen – etwa bei Systemen, die direkt aus dem Internet erreichbar sind – zu einer Tagesfrage wird.

Konkret sollten Unternehmen im DACH-Raum sofort folgende Schritte einleiten: Zunächst alle PHP-Installationen (8.2–8.5) auf den aktuellsten Stand bringen, insbesondere Windows-Deployments, da PHP bereits zweimal nachbessern musste. Zweitens: Bestandsaufnahme aller eingesetzten Siemens-, Schneider-Electric- und ABB-Produkte durchführen und die entsprechenden Security-Bulletins dieser Hersteller prüfen. Drittens: Node.js-, Python- und .NET-Umgebungen überprüfen, da auch diese Brotli-Code enthalten können. Der zentrale Ansatz sollte nicht darin bestehen, Patches aufzuschieben, sondern ein risikobasiertes Patchmanagement zu implementieren, das zwischen kritischen RCE-Lücken mit aktiven Exploits und weniger kritischen Bugs differenziert.

Mehr zum Thema im Ressort KI-Pentesting.

Quellen

• The Hacker News: CISA Confirms Active Exploitation of Two PHP2Shell Flaws
• SecurityWeek: Industrial Vendors Check Products for PHP2Shell Vulnerabilities
• SecurityWeek: Node2Shell: Brotli Flaw Triggers Patching
• Heise Security: Brotli-Decoder-Lücke nicht nur in Node.js
• SecurityWeek: PHP2Shell Exploitation Moves From Probes to Working Shells
• Heise Security: Cloudflare-Chef erwartet etliche weitere Lücken
• The Hacker News: PHP Issues Second Windows Security Update
• Heise Security: php2shell – Erfolgreiche Angriffe bestätigt