LONDON (IT BOLTWISE) – Nach der Ausnutzung der PHP2Shell-Schwachstellen CVE-2026-109618 und CVE-2026-109619 beobachten Security-Teams KI-gestützte, „agentic“ Post-Exploitation-Schritte. In einem Fall gelang Angreifern innerhalb von zwei Stunden der Zugriff auf Passwort-Hashes und MFA-Geheimnisse. Zudem bauten sie einen NTLM-Relay-Tunnel in Active Directory auf und versuchten, Privilegien bis Richtung Domain Admin hochzuschieben. Parallel dazu gibt es Hinweise auf großflächiges, „low-and-slow“ Scannen von PHP-Infrastruktur aus mutmaßlich nordkoreanischem Umfeld.
Nachdem die Schwachstellen CVE-2026-109618 und CVE-2026-109619 als „critical“ eingestuft wurden, haben sich die Angriffe nicht auf das klassische Scannen beschränkt. Laut Unit 42 von Palo Alto Networks wurden Bedrohungsakteure dabei beobachtet, wie sie nach der erfolgreichen Ausnutzung agentische KI-Plattformen für die Post-Exploitation einsetzen. Der entscheidende Punkt für Betreiber ist dabei weniger die reine Existenz einer Ferncodeausführung, sondern die Geschwindigkeit und Zielgerichtetheit, mit der aus einem initialen Einstieg ein klarer Zugriff auf Identitätsdaten wird.
In einem konkret beschriebenen Szenario traf es eine Regierungsstelle in Europa. Unit 42 zufolge hatten die Angreifer bereits innerhalb von zwei Stunden nach der ersten Ausnutzung Zugriff auf Passwort-Hashes sowie auf Secrets für die Multi-Faktor-Authentifizierung. Außerdem etablierten sie einen NT LAN Manager (NTLM)-Relay-Tunnel in Active Directory und versuchten, eine Eskalation in Richtung Domain-Admin-Privilegien anzustoßen. Solche Abläufe zeigen, wie schnell kompromittierte Systeme nicht nur „ausgelesen“, sondern in eine nächste Phase der internen Ausbreitung überführt werden.
Auch die Art, wie die Kommandos beim Durchstöbern des kompromittierten Endpunkts gebündelt wurden, fällt auf. Unit 42 beschreibt, dass der Angreifer das System enumerierte und dabei Kommandobatches mit Verhalten und Markern nutzte, die auf einen agentischen Ansatz hindeuten. Teil dieser Hinweise sind Anweisungen, die Reconnaissance des Authentifizierungsdatenbestands mit gestohlenen Zugangsdaten unterstützen, darunter die gezielte Suche nach Passwort-Hashes und 2FA-Secret-Elementen. Zusätzlich wird AD-Reconnaissance mittels curl-basierter anonymer LDAP-Abfragen an den Domain Controller genannt, ergänzt durch Host-Checks auf DNS- und AD-Integration, interne Ziele, privilegierte Gruppen sowie interaktive Benutzer.
Dass die Aktivität so strukturiert abläuft, hängt laut Unit 42 auch mit der Ausgabeform zusammen: Die Kommandos seien in Abschnitts-Delimitern gekapselt gewesen, etwa mit Markierungen wie „==SHELLUSER==“ und „==PASSWD==“. Solche Delimiter erzeugen laut der Beschreibung maschinenparsebare Ausgaben, die eine KI-Komponente leichter verarbeiten kann. Genau hier liegt der praktische Unterschied zur „Handarbeit“ vieler Angreifer-Skripte: Wenn Befehle und Resultate konsistent segmentiert werden, sinkt für eine nachgelagerte Automatisierung die Hürde, relevante Teile wiederzuerkennen und daraus die nächsten Schritte abzuleiten. Für Organisationen heißt das: Selbst wenn Monitoring für einzelne Exploit-Anfragen greift, kann eine gut orchestrierte Post-Exploitation-Automatisierung den eigentlichen Schaden schnell in eine Phase verlagern, in der Identitätsabfluss und AD-Manipulation im Vordergrund stehen.
Parallel dazu kommt aus einer anderen Richtung zusätzlicher Kontext: CYFIRMA beschreibt, dass es eine mutmaßlich nordkoreanisch verknüpfte Kampagne identifiziert habe, die PHP2Shell einsetzt, um globale PHP-Infrastruktur zu prüfen. Laut CYFIRMA erfolge das Scannen absichtlich niedrig-volumig („low-volume“) und getaktet („paced“). Betreiber sollten das als Signal verstehen, dass reine Volumen- oder Schwellenwert-Alarmierung oft zu spät anspringt: Laut Aussage von CYFIRMA würden Knoten bei Blockaden oder Rate-Limits gewechselt und später nicht weitergenutzt, wodurch zustandslose Erkennungsmuster schlechter funktionieren. Die von CYFIRMA genannte Zielspanne umfasst 216 Hosts in den USA, Japan, Südkorea, Thailand, Indonesien, Australien, Taiwan, Indien, Singapur, den Vereinigten Arabischen Emiraten, Saudi-Arabien sowie in der EU und richtet sich laut Beschreibung auf mehrere Sektoren wie Regierung, Finanzwesen, Logistik, Flughäfen und Fertigung.
Laut CYFIRMA habe die Kampagne den Schritt von der ersten Erkundung in aktives, „low-and-slow“ Scannen eines gefilterten Zielsets verlagert. Außerdem wird die Koordination über einen geschlossenen I2P-Kanal beschrieben. In Bezug auf die Zuordnung heißt es, die Aktivität werde mit „moderate confidence“ einem Koreanisch sprechenden Operator zugeschrieben, der dem Lazarus-Ökosystem zugeordnet wird. Wichtig ist: Solche Zuordnungen bleiben in der Praxis immer vorläufig, bis sich technische Artefakte vollständig und unabhängig bestätigen lassen. In der Quelle werden als Verknüpfungen unter anderem bekannte Lazarus-C2-Mechanismen sowie eine Historie genannt, in der PHP- und WordPress-Server kompromittiert wurden, um Webshells zu platzieren; daneben werden Priorisierungen von Regierungsstellen und Banken inklusive Online-Transaktionsplattformen als Muster beschrieben, das zum finanziell motivierten Vorgehen solcher Cluster passen soll.
Während diese Kampagnen-Logik die Angriffsseite beleuchtet, beschreibt die Sicherheitsforschung auch die technischen Hürden, die Exploitierer überwinden müssen. Datadog verweist auf zwei zentrale Constraints: Angreifer müssen die Größe einer Anfrage so steuern, dass ein Speicher-Allocation-Fail zum richtigen Zeitpunkt ausgelöst wird, und zugleich ASLR überwinden, um gültige Speicheradressen zu finden. ReliaQuest wiederum berichtet, dass es CVE-2026-109618 in einem kontrollierten Labor reproduzieren konnte und dabei eine Abfolge von Artefakten in PHP- und Webserver-Logs beobachtet habe, die Verteidiger zur Detektion nutzen können. Dazu gehört laut Beschreibung ein Sequenzmuster, in dem ein POST eine 500-Fehlermeldung auslöst, PHP anschließend Speicherknappheit und Heap-Korruption meldet, und der Apache-Worker bei der Verarbeitung des Requests abstürzt. Solche Logmuster sind besonders wertvoll, weil sie nicht nur die reine Existenz einer verwundbaren Konfiguration anzeigen, sondern oft ein „Exploit-ähnliches“ Verhalten im Zusammenspiel von PHP-Laufzeit, HTTP-Request und Server-Worker widerspiegeln.
Gleichzeitig wird klar, dass auch „Patch-only“ nicht automatisch alle Risiken reduziert. Die PHP Foundation habe inzwischen vor einer weiteren Remote-Code-Execution-Lücke gewarnt, CVE-2026-115560, die nur unter einer ungewöhnlichen Kombination aus Konfiguration und Anwendungscode auftreten könne; die Behebung sei dem regulären Release-Zyklus zugeordnet. Konkret nennt die PHP Foundation eine Konfiguration, in der eine Anwendung session.serialize_handler auf php_binary oder php_serialize setzt, sie zur Laufzeit über ini_set() jedoch auf php umschaltet, bevor session_start() aufgerufen wird; außerdem muss der Session-Upload-Progress-Mechanismus aktiv sein. Dazu kommt, dass Scanner wie der von Xint nach eigenen Angaben prüfen, ob ein Host dem PHP2Shell-Verhalten ausgesetzt ist; dabei wird auch betont, dass Ferncodeausführung nicht nur bei „irgendeinem PHP-Skript“, sondern insbesondere dort möglich ist, wo intern Decoding- oder Session-Start-Pfade genutzt werden, etwa mit session_start() und unserialize(). Bitsight nennt ergänzend, dass es im Internet nahezu 37 Millionen Systeme gebe, die PHP oder PHP-nahe Software bereitstellen, mit den meisten Expositionen u.a. in den USA, Deutschland, Frankreich, den Niederlanden und Japan; die zentrale Konsequenz daraus ist, dass Angriffsflächen nicht allein durch „WAF-Bastelei“ verschwinden, sondern in letzter Konsequenz durch Updates der PHP-Laufzeit auf den betroffenen Hosts geschlossen werden.
Für die Betreiberseite folgt daraus eine klare Priorisierung: Erstens sollten betroffene Systeme schnell identifiziert und auf eine Version aktualisiert werden, die die CVE-Lücken beseitigt. Zweitens lohnt es sich, Log- und Telemetriepfade auf die in der Forschung beschriebenen Sequenzartefakte hin zu untersuchen, weil sie die Wahrscheinlichkeit erhöhen, dass ein aktives Ausnutzen erkannt wird, selbst wenn klassische Exploit-Signaturen im Rauschen untergehen. Drittens sollten Sicherheitsverantwortliche Active Directory-relevante Schwachstellenpfade mit in ihre Incident-Response nehmen, weil NTLM-Relay-Tunnel und Privilegversuche bereits im frühen Zeitfenster sichtbar werden können. Gerade wenn – wie in den geschilderten Fällen – agentische KI-Komponenten dabei helfen, Ergebnisse strukturiert zu verarbeiten, steigt der Wert von schneller Isolation, erzwungenem Credential-Reset und gezielter Überprüfung der MFA- und AD-bezogenen Spuren.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PHP2Shell-Angriffe: KI-gestützte Post-Exploitation nach Critical RCE" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PHP2Shell-Angriffe: KI-gestützte Post-Exploitation nach Critical RCE" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PHP2Shell-Angriffe: KI-gestützte Post-Exploitation nach Critical RCE« bei Google Deutschland suchen, bei Bing oder Google News!