Hacker starten Massen-Scans mit öffentlich verfügbaren PHP2Shell-Exploit-Skripten

Was passiert ist

Hacker starten Massen-Scans mit öffentlich verfügbaren PHP2Shell-Exploit-Skripten, berichtet GBHackers. Hacker durchforsten mit öffentlich kursierenden PHP2Shell-Exploit-Skripten die aus dem Internet erreichbare PHP-Infrastruktur und machen die Veröffentlichung zweier kritischer Schwachstellen zu einer weltweiten Aufklärungskampagne. Fastly verzeichnete bis Mittag des 22. Oktober rund 250.000 Anfragen von Tools mit PHP2Shell im Namen, die von etwa 3.200 öffentlichen IP-Adressen ausgingen.

Diese Zahlen enthalten jedoch auch Scanner aus der Verteidigung und belegen keine erfolgreichen Server-Kompromittierungen.

cyber security Cyber Security News 3 min.

Die Aktivität zielt auf CVE-2026-109618 und CVE-2026-109619, zusammen als PHP2Shell bezeichnet, die CVSS-Werte von 9,2 aufweisen. Beide Schwachstellen betreffen die PHP-Engine und können unter bestimmten Bedingungen eine unauthentifizierte Remote Code Execution (das Ausführen von Programmen auf einem Rechner von einem anderen Ort aus) ermöglichen.

Da die Schwachstellen unterhalb des Anwendungscodes liegen, reicht ein Update eines Content-Management-Systems allein nicht aus, um die zugrunde liegende Gefährdung zu beheben. Die weitverbreitetste Software sendet POST-Anfragen an /index.php oder /, verwendet den User-Agent php2shell-109618 und übergibt eine Multipart-Boundary B7kQpoc618. Die Anfragen richten sich an rohe IP-Adressen statt an Hostnamen und treffen die einzelnen Hosts typischerweise ein- oder zweimal.