LONDON (IT BOLTWISE) – Angreifer versuchen vergeblich, die neu offengelegten PHP2Shell-Lücken (CVE-2026-109618 und -109619) für Remote Code Execution auszunutzen und damit eine Mirai-nahe Botnet-Variante namens Potassium zu betreiben. Laut Auswertungen sind die Schwachstellen zwar gepatcht, doch die Angriffskette wirkt in der Praxis deutlich schwerer zuverlässig umzusetzen. Neben fehlgeschlagenen In-the-wild-Exploit-Versuchen zeigen Telemetriedaten umfangreiche Scans und Vorprüfungen auf verwundbare PHP-Setups. Für Betreiber heißt das: Update-Routinen reichen nicht allein, wenn ältere PHP-Versionen und spezifische Hosting-Layouts im Bestand bleiben.
Die neuen PHP2Shell-Schwachstellen rücken nicht nur als weiterer Eintrag in eine wachsende Liste von PHP-Engine-Exploits in den Fokus, sondern auch als Belastungstest für die Angriffswahrscheinlichkeit im echten Internet. Zentral sind die CVEs CVE-2026-109618 und CVE-2026-109619 mit einem CVSS-Wert von 9,2, die über speziell konstruierte HTTP-Anfragen eine nicht authentifizierte Remote Code Execution (RCE) ermöglichen sollen. In der Praxis zeigt sich jedoch: Obwohl bereits zahlreiche Attack-Scans und vereinzelte Exploit-Versuche laufen, bleibt der Schritt zur stabilen Kompromittierung offenbar oft aus. Genau diese Diskrepanz zwischen „funktioniert theoretisch“ und „gelingt zuverlässig“ prägt die aktuellen Befunde rund um die Botnet-Variante Potassium.
Die Angriffsidee ist dabei klar an einem Mirai-Duktus ausgerichtet, zugleich aber technisch spürbar angepasst. Wie Sophos beschrieben hat, handelt es sich bei einem untersuchten Sample um eine aktualisierte und deutlich erweiterte Mirai-abgeleitete Botnet-Komponente, die zusätzlich Downloader- und Network-Disruption-Funktionalität mitbringt. In der Kette löst das Malware-Sample eine fest eincodierte, verschlüsselte Command-and-Control-Adresse auf, stellt eine TCP-Verbindung zu 134.199.154[.]64 her und sendet daraufhin eine HTTP-Anfrage. Im nächsten Schritt prüft die Malware den HTTP-Status „200“ und kontrolliert außerdem, ob das nachgeladene Payload-Fragment mit den ELF-Magic-Bytes „7F 45 4C 46“ beginnt – ein Hinweis darauf, dass als Second-Stage-Objekt explizit eine Linux-ELF-Binärdatei erwartet wird.
Auch die Infrastruktur-Komponente wirkt aufwändig genug, um nicht nur nach „One-Shot-Exploit“ auszusehen, sondern nach einem Werkzeugkasten für wiederholte Durchläufe. Nokia Deepfield ordnet das Setup als Mirai-Fork ein: Dort kommt ChaCha20 für eine statische Konfigurationstabelle zum Einsatz, außerdem existiert ein einzelnes statisches Byte (0xED) für die Kommunikation „on the wire“. Auffällig ist außerdem ein DNS-Misdirection-Mechanismus, der laut Analyse die beiden 16-Bit-Hälften jedes aufgelösten A-Records vor dem connect()-Aufruf vertauscht. Dadurch kann selbst bei korrekter Namensauflösung ein anderer Ziel-IP-Speicher entstehen; im selben Kontext wird berichtet, dass Potassium eine DNS-Abfrage nach „thunder.godofthunder[.]st“ ausführt, dieses Ziel auf 134.199.154[.]64 auflöst und anschließend einen C2-Kanal auf TCP-Port 50792 etabliert.
Parallel dazu liefert die „Warum scheitert es trotzdem?“-Ebene den größten operativen Hinweis. Laut Sophos deuten die fehlenden erfolgreichen In-the-wild-Ausprägungen darauf hin, dass Angreifer Schwierigkeiten haben, zuverlässige Exploits zu konstruieren. Diese Sicht wird von weiteren Telemetrie-Auswertungen gestützt: In Honeypots wurden zwar zahlreiche php2shell-Probes und Exploit-Versuche beobachtet, aber zum Zeitpunkt der Erhebung kein bestätigter RCE-Erfolg und keine heruntergeladenen PHP-Dateien. Ähnlich ordnen mehrere weitere Sicherheitsunternehmen die Aktivität vor allem als Scanning, Fingerprinting sowie Versuche, Kommandos auszuführen, Credentials aus Environment-Variablen zu entnehmen, Persistenz aufzubauen und eine Second-Stage-Komponente nachzuladen. Ergänzend beschreibt SOCRadar eine Exploit-Toolchain, die gezielt auf PHP 8.4.26 unter Apache mod_php zielt und dabei den Zielzustand anhand von Server- und Session-Konfigurationen „screened“; in den überprüften Fällen fanden sich offenbar keine verwertbaren Vorbedingungen, obwohl die Tools auf etwa 20 öffentliche Websites in mehreren Ländern (u. a. Kanada, China, Finnland, Frankreich, Polen, UK, USA) getestet wurden.
Was Betreiber aus technischer Sicht daraus ableiten sollten, ist weniger „Angriff steht vor der Tür“, sondern „Angriff sucht den richtigen Moment“. Die Schwachstellen liegen laut Sysdig Threat Research in der PHP-Engine und nicht in konkretem Anwendungscode. Das bedeutet: Selbst ein sauberer WordPress-, Drupal- oder Joomla-Stack kann verwundbar bleiben, wenn die eingesetzte PHP-Version die anfälligen Pfade enthält. Dass PHP2Shell sich deshalb wie eine „Long Tail“-Gefahr entwickeln kann, ist eng mit dem Patch-Stand verbunden: Die Fixes werden für PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 genannt, für ältere Versionen existieren die passenden Updates häufig nicht. In der Folge bleibt selbst nach einem allgemeinen Update-Fenster ein Rest-Risiko bestehen, insbesondere in Hosting-Setups und Appliances, die PHP-Strukturen abseits der eigenen Release-Zyklen betreiben.
Die Metadaten der Angriffsversuche zeigen zudem, dass nicht nur „ein“ Botnet im Spiel ist, sondern dass die Kampagne mehrere Spuren verfolgt. Zum Beispiel wurden Angriffseingaben aus drei IP-Adressen gemeldet (85.11.167[.]243, 217.60.242[.]76, 45.198.224[.]169), die wiederum Kontakt zu 92.118.112[.]100 aufnahmen, um einen Loader abzurufen. Ebenso wird von Werkzeugen berichtet, die ASLR (Address Space Layout Randomization) in x86-64-Kontexten umgehen sollen. VulnCheck beschreibt hierfür eine Kettenmethode, die Speicherlecks nutzt, um ASLR zu umgehen, und dabei RCE auch unter den von PHP empfohlenen Production-Fehlerdisplay-Einstellungen möglich macht. Für die praktische Schadwirkung ist dabei entscheidend, dass der Angreifer Code mit den Rechten der Webanwendung ausführt und damit Zugriff auf API-Keys, Datenbankverbindungen und andere interne Pfade erlangen kann, ohne zwingend Admin- oder Root-Rechte zu besitzen.
Auf der Abwehrseite wird der Druck zusätzlich durch die Weitläufigkeit der Exposition verstärkt. Cloudflare meldete in den ersten Stunden nach der öffentlichen Bekanntgabe eine sprunghafte Zunahme von Exploit-Versuchen von „tens of thousands“ hin zu „millions“ bis zum frühen 22. Oktober 2026, während Cisco Talos die Aktivitäten vor allem als Scanning sowie unkoordinierte Payload-Übergaben einordnet. Im selben Zeitraum haben mehrere Behörden vorsorgliche Abschaltungen von digitalen Diensten angekündigt bzw. umgesetzt; aus dem Vereinigten Königreich wurde berichtet, dass 32 digitale Services offline und vier teilweise nicht verfügbar seien, flankiert von etwa 50.000 Warnungen. Gleichzeitig zeigt Censys, dass die Angriffsfläche groß ist: Es werden mehr als 3,08 Millionen Hosts und 56,6 Millionen Web-Properties mit PHP detektiert, darunter ein großer Anteil potenziell verwundbarer PHP-Services. Für IT-Teams heißt das konkret: Patch-Disziplin bleibt Pflicht, doch zusätzlich sollten sie ihr Attack Surface Management so schärfen, dass auch indirekte PHP-Abhängigkeiten in Webserver-Stacks, veraltete Nebeninstanzen und begrenzte Update-Zyklen adressiert werden.
Wenn sich die „Zuverlässigkeitslücke“ bei Exploits künftig schließt, dürfte Potassium dann nicht mehr nur in Labor- oder Sandbox-Auswertungen relevant sein, sondern als durchsatzstarke DDoS-Mechanik wiederkehrend zuschlagen. Die Malware zielt laut Analyse auf nachhaltige volumetrische Flood-Angriffe gegen zwei benachbarte Hosts innerhalb eines ukrainischen Netzes (45.88.138[.]0 und 45.88.138[.]44). Selbst wenn ENS-basierte Auflösung in den beobachteten Builds deaktiviert war, bleibt die technische Option bestehen, dass spätere Varianten die Auflösung über Ethereum Name Service aktivieren und damit die Abhängigkeit von klassischen DNS-Registraren erhöhen könnten. Für die nächsten Wochen sollten deshalb nicht nur Updates priorisiert werden, sondern auch Validierungsprozesse, die zeigen, dass die eigenen Systeme wirklich auf den gefixten PHP-Bausteinen laufen und die realen Web-Workloads nicht in einem „scheinbar gepatcht, aber faktisch betroffen“-Zustand verharren.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "PHP2Shell: gescheiterte RCE-Versuche treiben Mirai-Fork Potassium an" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "PHP2Shell: gescheiterte RCE-Versuche treiben Mirai-Fork Potassium an" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »PHP2Shell: gescheiterte RCE-Versuche treiben Mirai-Fork Potassium an« bei Google Deutschland suchen, bei Bing oder Google News!