LONDON (IT BOLTWISE) – Eine Sicherheitslücke namens PHP2Shell ermöglicht im Kern das Ausführen von Befehlen auf einem Server über ungesicherte PHP-Deployments. Ein Forscher nutzte zwei kritische PHP2Shell-Flaws, um in einem öffentlichen Bitcoin-CTF eine Laufzeit von 19,28 Stunden zu erreichen. Die Gewinnerprämie lag bei 0,02511679 BTC, was zum Zeitpunkt des Wins 2.021,22 US-Dollar entsprach. Bereits vor den Fixes gab es laut Berichten Ausnutzungsversuche, weshalb Upgrades auf die gepatchten PHP-Versionen jetzt die zentrale Schutzmaßnahme sind.
Die PHP2Shell-Schwachstellen zeigen in aller Deutlichkeit, wie schnell aus einer theoretischen Sicherheitslücke ein operatives Risiko wird: Ein öffentliches Bitcoin-Challenge-Setup mit dem Domainnamen stealmybitcoin.com war während des Testbetriebs anfällig, weil unpatchede PHP-Komponenten für einen Remote-Code-Execution-(RCE)-Pfad genutzt wurden. Der Siegerlauf dauerte 19,28 Stunden und führte zu einer Prämie von 0,02511679 BTC, die zum Zeitpunkt der Lösung am 25. Oktober 2026 um 15:47 UTC auf 2.021,22 US-Dollar geschätzt wurde. Auffällig ist dabei nicht nur der Erfolg in einem CTF-Umfeld, sondern die schnelle Eskalation aus der Live-Exploitation: In den Tagen vor den von PHP veröffentlichten Fixes wurden bereits Versuche erkannt.
Technisch basiert PHP2Shell auf zwei als kritisch eingestuften Fehlern mit den CVE-IDs CVE-2026-109618 und CVE-2026-109619. Beide erhalten laut CVSS v4.0 jeweils einen Score von 9,2. Der erste Bug greift bei einem Cleanup-Prozess nach einem Out-of-Memory-Zustand in den Speicher ein und kann dabei Speicherbereiche beschädigen. Der zweite Fehler spielt eine subtile Rolle: Er ermöglicht, dass Daten aus einer vorherigen Anfrage in einem gemeinsam genutzten Worker für eine spätere Anfrage wiederverwendet werden. Zusammen ergeben diese Eigenschaften ein klassisches Muster moderner Exploits, bei dem Information Disclosure und kontrollierte Speicherzustände den Weg zur Codeausführung ebnen.
Der Verlauf der Challenge macht zudem deutlich, warum Patch-Management allein nicht immer als „hakelhafte Pflichtübung“ verstanden werden darf. In frühen Versuchen scheiterte der Exploit-Plan offenbar daran, dass der Server anfänglich statische Dateien zunächst über PHPs Command-Line-Modus bereitstellte; dieser Ausführungsweg umging die relevanten Schwachstellen. Erst als der Betreiber auf eine „echte“ PHP-Seite umstellte, wurde die Testlogik so aktiviert, dass die Bugs tatsächlich ansprechbar waren. Das unterstreicht für Betreiber ein praktisches Sicherheitsprinzip: Selbst wenn die Softwareversion anfällig ist, kann die Angriffsfläche stark davon abhängen, wie der Runtime-Pfad im Betrieb tatsächlich aussieht.
Die von dem Forscher veröffentlichte Proof-of-Concept-(PoC)-Implementierung beschreibt dabei einen mehrstufigen Weg. Laut Beschreibung nutzt der öffentliche Code zwei Memory-Leaks, um erst eine Heap-Adresse und danach eine PHP-Code-Adresse offenzulegen. Mit beiden Informationen kann eine Folgeanfrage eine „gefälschte“ Datenstruktur in den Speicher platzieren, die PHP anschließend dazu bringt, seine systembezogene Funktion aufzurufen. Im Anschluss druckt das Skript einen Zufallsmarker, die User-ID sowie den Hash des Flag-Programms. Gleichzeitig räumt die Ausarbeitung Grenzen ein: Der Exploit sei gegen eine lokale Labor-Kopie gebaut und getestet worden, und in etwa sieben von zehn Laborläufen habe er funktioniert. Zudem sei die vollständige Live-Anfrage nicht vollständig mitgeschnitten worden, und die wiederhergestellte Taste habe nicht mit der im Challenge-Setup beworbenen Zieladresse übereingestimmt; als Ursache wird dabei ein Fehler auf Seiten des Challenge-Erstellers genannt.
Wichtig für den operativen Schutz ist die Patch-Realität hinter den CVEs. PHP veröffentlichte Korrekturen am 21. Oktober 2026 in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Der betroffene Bereich reicht laut den genannten Hinweisen von PHP 5.4 bis 8.5.11. Ältere Branches wie 8.1 oder darunter erhalten demnach keine offiziellen Fixes mehr, wodurch der Handlungsbedarf in der Praxis schnell in eine Migrationsfrage übergeht: Nur „Downgrade auf denselben Bugfix-Pfad“ oder „Konfiguration drehen“ ersetzt kein getestetes Upgrade. Exploits, die auf solchen Fehlern basieren, lassen sich zudem nicht verlässlich durch rein defensive Maßnahmen wie Firewall-Regeln „wegzaubern“, weil die Schwachstellen zur RCE-Fähigkeit im Kern in der PHP-Runtime liegen.
Für die Einordnung des aktuellen Bedrohungsbilds sind zwei Punkte besonders relevant. Erstens: Berichte über Angriffsversuche liegen bereits vor dem Fix-Datum, mit erkennbaren Aktivitäten ab dem 17. Oktober 2026, also vier Tage vor der Veröffentlichung. Zweitens: Sicherheitsanbieter meldeten zwar blockierte Versuche zur Auslieferung einer Payload mit Bezug auf „Potassium“, die als eine Variante eines Mirai-ähnlichen Botnetzes eingeordnet wird, gleichzeitig aber fehlte der Nachweis für eine tatsächlich erfolgreiche Kompromittierung. Genau diese Kombination ist aus Verteidigersicht typisch: Die „Pre-Patch“-Phase ist oft die lauteste Phase für Detektion, während der tatsächliche Impact erst später klar wird. Unabhängig davon bleibt die einzige vollständige Lösung das Upgrade auf eine gepatchte PHP-Version.
Praktisch bedeutet das für Teams in Backend-Betrieb und Platform Engineering: Nach dem Upgrade sollten Services neu gestartet und die Ausführung der aktualisierten Worker überprüft werden, weil in Containern oder gebündelten Runtime-Images weiterhin alte Codepfade laufen können. Ergänzend können Konfigurationsanpassungen das Risiko reduzieren, aber sie schließen die Lücken nicht dauerhaft. Darüber hinaus lohnt es sich, die eigenen Telemetriedaten und SOC-Signale so zu verdrahten, dass neue Exploit- oder Malware-Indikatoren möglichst schnell in die Abwehrregeln einfließen – insbesondere, wenn Angriffsversuche wie bei PHP2Shell bereits Tage vor den offiziellen Fixes auftauchen. Für Unternehmen, die PHP in mehreren Stacks betreiben, ist die Botschaft damit weniger „ein Bug wurde entdeckt“, sondern „die Betriebsrealität entscheidet, wie schnell Angreifer Anschluss finden“.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PHP2Shell: Kritische PHP-RCE-Lücken sichern 2.000-Dollar-Bitcoin-Challenge" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PHP2Shell: Kritische PHP-RCE-Lücken sichern 2.000-Dollar-Bitcoin-Challenge" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PHP2Shell: Kritische PHP-RCE-Lücken sichern 2.000-Dollar-Bitcoin-Challenge« bei Google Deutschland suchen, bei Bing oder Google News!