Amazon Threat Intelligence hat in den Telemetriedaten des Mad-Pot-Honeypots einen PHP2Shell-Ausnutzungsversuch vom 17. Oktober 2026 identifiziert, vier Tage vor der öffentlichen Offenlegung von CVE-2026-109618 und CVE-2026-109619. Der Versuch stammte von einer IP-Adresse, die mit einem kommerziellen Anonymisierungsnetzwerk in Verbindung steht. Obwohl die Schwachstelle unter einem Embargo stand, deutet das gezielte Anvisieren eines Honeypots darauf hin, dass ein Bedrohungsakteur aktiv war. Unklar bleibt, wie dieser Akteur vor der Offenlegung an Exploit-Informationen gelangte.
Das PHP-Embargo sollte am 21. Oktober 2026 um 14:00 UTC aufgehoben werden. Amazon Threat Intelligence beobachtete am Tag der Veröffentlichung mehrere Proof-of-Concept-Exploits, der früheste gegen 02:00 UTC. Zwischen 02:00 und 08:00 UTC kamen weitere Ausnutzungsversuche gegen Mad Pot aus zusätzlicher anonymisierter Infrastruktur. Die unterschiedlichen Payloads deuten auf mehrere Akteure hin. Die technische Analyse läuft noch, um festzustellen, ob einer der Versuche gegen reale Systeme erfolgreich gewesen wäre.
Innerhalb weniger Stunden nach der Veröffentlichung des Patches tauchten weitere Proof-of-Concept-Exploits auf, die nahezu sofort gegen Amazons Sensoren eingesetzt wurden. PHP2Shell wird inzwischen breit in freier Wildbahn ausgenutzt. Amazon zieht zwei Lehren: Ein Embargo schützt Verteidiger nur so lange, bis jemand anderes denselben Fehler findet, und das öffentliche Offenlegungsdatum muss nicht das früheste Datum der Ausnutzung sein. Da KI-gestützte Analysen es günstiger machen, Patches in funktionierende Exploits umzuwandeln, schrumpft die Lücke zwischen Patch und Angriff.
Sicherheitsteams sollten die Patch-Zeiten für kritische, aus dem Internet erreichbare Schwachstellen in Stunden statt Tagen messen, Untersuchungen ab der frühesten bekannten Ausnutzung beginnen und Erkennungsmechanismen einsetzen, die nicht auf CVE-spezifischen Signaturen beruhen. Das Upgrade auf gepatchte PHP-Versionen ist die einzige vollständige Behebung. Wenn ein sofortiges Patchen nicht möglich ist, sollten Teams nach Bewertung der Auswirkungen auf die Anwendung in Betracht ziehen, mehrteilige Datei-Uploads zu blockieren, und Logs auf POST-Anfragen prüfen, die die Zeichenfolge PHP_SESSION_UPLOAD_PROGRESS enthalten.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing