PHP2Shell: China-Hacker kapern US-Server
China-verknüpfte Hacker nutzen PHP2Shell-Lücken aktiv aus und kaperten US-Regierungsserver. Millionen deutsche Dienste sind verwundbar.
Cybersicherheitsforscher haben eine koordinierte Angriffskampagne dokumentiert, die von einer China-verbundenen Bedrohungsgruppe durchgeführt wurde und kritische PHP-Lücken ausnutzt. Wie SecurityWeek berichtet, haben die Angreifer eine Exploit-Kette aus PHP2Shell und Fragnesia eingesetzt, um mindestens zwei Server einer US-regierungsnahen Organisation zu kompromittieren. The Hacker News bestätigt, dass die Angreifer insgesamt 25 Server mit Root-Zugriff infiltriert haben und damit Zugang zu einem US-Regierungsnetzwerk erlangten.
Die PHP2Shell-Lücken selbst sind keine neuen Schwachstellen – sie wurden bereits in älteren PHP-Versionen identifiziert. Allerdings verändert sich die Bedrohungslage grundlegend, seit Angreifer aktiv damit begonnen haben, diese Sicherheitslücken in Echtzeit auszunutzen. Die Exploit-Kette funktioniert in zwei Stufen: Zuerst nutzen die Angreifer PHP2Shell, um auf dem Zielserver Code auszuführen. Anschließend setzen sie den Fragnesia-Exploit ein, um von erhöhten Privilegien (Escalation) zu Root-Zugriff zu gelangen. Diese Kombination ermöglicht vollständige Kontrolle über die betroffenen Systeme.
Was die Reichweite besonders beunruhigend macht: In Deutschland sind nach Angaben von t3n über vier Millionen Dienste mit verwundbaren PHP-Versionen online erreichbar. Die genaue Zahl der tatsächlich betroffenen Systeme lässt sich schwer beziffern, da viele Administratoren ihre PHP-Installation nicht aktualisiert haben oder die Sicherheitspflaster nicht eingespielt haben. SecurityWeek und The Hacker News deuten darauf hin, dass das Angriffsaufkommen in den kommenden Wochen weiter ansteigen wird, da die technischen Details mittlerweile öffentlich verfügbar sind.
Warum für DACH relevant
Im deutschsprachigen Raum trifft diese Kampagne auf eine besondere Situation: Viele mittelständische Unternehmen, Behörden und Institutionen betreiben Web-Anwendungen auf PHP-Basis – oft in älteren Versionen, die mit legacy-Code arbeiten. Die Verwundbarkeit von vier Millionen deutschen Diensten ist nicht nur eine statistische Größe, sondern entspricht dem Schätzwert öffentlich erreichbarer PHP-Installationen, die weiterhin anfällig sind.
Die DSGVO schreibt vor, dass Organisationen, die personenbezogene Daten verarbeiten, angemessene technische und organisatorische Maßnahmen zur Sicherheit ergreifen müssen. Ein erfolgreicher Root-Zugriff auf einen Produktionsserver durch PHP2Shell-Exploits stellt einen klaren Verstoß gegen diesen Grundsatz dar – und kann zu Bußgeldern im siebenstelligen Bereich führen. Das Bundesnetzwerk des BSI (Bundesamt für Sicherheit in der Informationstechnik) hat bereits eine Warnung ausgegeben, dass China-verknüpfte Akteure gezielt deutsche Infrastruktur scouten.
Besonders kritisch ist die Situation für Behörden und Einrichtungen des öffentlichen Dienstes im DACH-Raum. Viele kommunale Verwaltungen und regionale Behörden verwalten ihre Webseiten und Portal-Anwendungen mit älteren PHP-Stacks. Ein Szenario wie das in den USA dokumentierte – Root-Zugang auf einem Behördenserver – hätte massive Konsequenzen für die Verfügbarkeit und Integrität digitaler Dienste in Deutschland, Österreich und der Schweiz.
Hinzu kommt: Die aktive Ausnutzung durch staatlich geförderte Akteure deutet darauf hin, dass die PHP2Shell-Lücke strategisches Interesse hat. Sie dient nicht nur zur Malware-Verteilung oder Kryptomining, sondern auch zur gezielten Spionage und zum Diebstahl von Behördendaten. Im Kontext der EU-Cybersecurity-Direktive (NIS2) werden kritische Infrastrukturbetreiber zudem zur proaktiven Threat-Hunting verpflichtet – wer nicht regelmäßig sein PHP-Deployment überprüft, riskiert Compliance-Versäumnisse.
Was du jetzt tun / wissen solltest
Der Kernpunkt ist simpel, aber oft übersehen: PHP-Versionen unter 8.2 und insbesondere 7.x sind nicht mehr vom Hersteller unterstützt und erhalten keine Sicherheitsupdates mehr. Wer noch auf diesen alten Versionen läuft, muss eine Migrationsstrategie definieren – nicht irgendwann, sondern innerhalb der nächsten 30 Tage. Das ist nicht bloße Best-Practice, es ist jetzt eine unmittelbare Schutzmaßnahme gegen dokumentierte aktive Angriffe. Für Unternehmen und Behörden, die ein Patch-Management-System haben, bedeutet das: PHP auf mindestens Version 8.2 oder neuer aktualisieren, Web-Application-Firewalls aktivieren, um verdächtige PHP-Parameter zu blockieren, und Logs auf ungewöhnliche Code-Ausführungen prüfen. Für die größere Zahl von Organisationen, die ihre PHP-Infrastruktur nicht ständig überwachen, bleibt ein Sicherheits-Audit unvermeidbar. Die Alternative ist, wissentlich ein kompromittiertes System zu betreiben.
Das Interessante an diesem Angriff ist auch: Er zeigt, wie Exploits aus verschiedenen Generationen kombiniert werden, um eine Eskalationskette zu bilden. Das ist für KI-Pentesting relevant – denn es demonstriert, dass Angreifer zunehmend automatisiert nach Schwachstellen-Kombinationen suchen und diese kettnenartig ausnutzen. Organisationen, die ihre Systeme nur isoliert testen, werden diese Ketten übersehen.
Mehr zum Thema im Ressort KI-Pentesting.
Quellen
Häufige Fragen
Was ist PHP2Shell und warum ist die Lücke so gefährlich?
PHP2Shell ist eine Sicherheitslücke in älteren PHP-Versionen, die Angreifern die Ausführung von Code auf einem Server ermöglicht. Besonders gefährlich wird sie, wenn Angreifer sie mit weiteren Exploits wie Fragnesia kombinieren, um von erhöhten Rechten zu Root-Zugriff zu eskalieren.
Wie viele deutsche Systeme sind von PHP2Shell betroffen?
Nach Angaben von t3n sind über vier Millionen deutsche Dienste mit verwundbaren PHP-Versionen online erreichbar. Dies entspricht dem geschätzten Bestand öffentlich zugänglicher älterer PHP-Installationen, die nicht auf aktuelle Versionen aktualisiert wurden.
Was muss eine Behörde oder ein Unternehmen konkret tun, um sicher zu sein?
Systeme sollten auf PHP 8.2 oder neuer aktualisiert werden, Web-Application-Firewalls müssen verdächtige PHP-Parameter blockieren, und die Server-Logs sollten auf ungewöhnliche Code-Ausführungen überprüft werden. Ein Sicherheits-Audit ist notwendig, um festzustellen, ob bereits Kompromittierungen stattgefunden haben.