Amazon entdeckt PHP2Shell-Angriffe vier Tage vor der Veröffentlichung der Lücke
Amazon identifies Oct 17 PHP2Shell exploitation prior to public disclosure
Amazon Threat Intelligence hat in seiner MadPot-Honeypot-Telemetrie einen Ausnutzungsversuch von PHP2Shell gefunden, der auf den 17. Oktober 2026 datiert – vier Tage vor der Offenlegung von CVE-2026-109618 und CVE-2026-109619. Der Angriff kam von einer IP-Adresse eines kommerziellen Anonymisierungsnetzwerks. Nach Ablauf der Sperrfrist am 21. Oktober tauchten binnen Stunden mehrere Proof-of-Concept-Exploits auf, die sofort gegen die Sensoren eingesetzt wurden. Die Lücke wird inzwischen breit ausgenutzt.
Eine Sperrfrist schützt Verteidiger nur so lange, bis jemand anders denselben Fehler findet.
- andyvanosdale
Wenn das am 17. Oktober ausprobiert und/oder ausgenutzt wurde, wirft das ein schlechtes Licht auf das PHP-Team, weil es in seiner öffentlichen Ankündigung ein schlechtes Licht auf Chainguard wirft.
Im Grunde weicht das PHP-Team dem aus und entzieht sich seiner Verantwortung für das ganze Chaos, das es angerichtet hat. "Chainguard hat das Embargo gebrochen", "unterstützt uns mit Geld", "wir sind nur Freiwillige", "wir hatten schon vor Jahren Kenntnis, aber kein POC, weil wir Features ausliefern wollten und keine Sicherheitsfixes". Alles nur Ablenkungsmanöver.
Dieses Fiasko zeigt mir, dass ich PHP niemals für irgendein Projekt verwenden würde, an dem ich beteiligt bin. Das PHP-Team hat es grandios vermasselt, und sie schieben die Schuld nach links, rechts, oben und unten ab.
- hyperpape
Es gibt außerdem einen Tweet von Matthew Prince, der besagt, dass Cloudflare vor der Ankündigung Tausende von Versuchen gesehen hat, https://x.com/eastdakota/status/2113079352682570051, dann Zehntausende nach der Ankündigung und jetzt Millionen.
Leider ist es so, dass, wenn man die Ankündigung so liest, dass sie sich auf 14:00 UTC bezieht, das mehrere Stunden nach der Veröffentlichung der Images durch Chainguard ist. Ich weiß nicht, ob es plausibel ist, dass Leute die Chainguard-Builds gesehen, das Problem daraus verstanden und Exploits gebaut haben, aber eine präzise Zeitlinie würde helfen, das besser zu verstehen.
- VladVladikoff
Ich habe in Server-Logs gesehen, dass danach gescannt wurde, aber keine tatsächliche Ausnutzung. Ich denke, die Botnets haben es zu ihren Schwachstellen-Scannern hinzugefügt, aber ich habe noch keine Beispiele für einen tatsächlich funktionierenden Exploit gesehen. Auf GitHub gibt es Hunderte von vibe-gecodeten Versuchen, aber nach meinem besten Wissen funktioniert keiner davon. Ich würde mich freuen, wenn mich hier jemand vom Gegenteil überzeugt.
Außerdem ist dieser Beitrag von Amazon peinlich. Sie wussten seit dem 17. davon, haben es aber versäumt, den Embargo-Zeitplan einzuhalten und Amazon Linux zu patchen (ihr Patch soll heute, am 22. Oktober, veröffentlicht werden).
- decidu0us9034
"Ausnutzungsversuch" ist unklar. Die Bot-Scanner erzeugen ständig riesige Mengen seltsamen Traffics. Hat irgendjemand einen portablen, zuverlässigen Exploit, der unter realen heterogenen Bedingungen funktioniert und nicht nur in einem Laboraufbau, und ist das überhaupt machbar? Scheint nicht so. LLMs automatisieren die Entwicklung praktischer Exploits, aber sie beseitigen nicht jede Einschränkung, die sie von vornherein schwierig macht. Es fühlt sich an, als würden die Leute das übersehen, keine Ahnung.
- menomatter
Unterscheiden sie zwischen Versuchen und erfolgreicher Infiltration? Ich versuche zu verstehen, ob dieser Exploit einfach anzuwenden ist oder nicht. Gestern gab es hier einen Artikel, der argumentierte, dass der Exploit nicht einfach anzuwenden sei und LFI benötige.