← Zur Übersicht aller Beiträge
PHP2Shell: Cloudflare zählt Millionen Angriffsversuche
Nach der Veröffentlichung der PHP2Shell-Lücken stieg das beobachtete Angriffsvolumen binnen Stunden auf Millionen Versuche. Damit wird aus der Patchwarnung ein laufendes Incident-Thema; Betreiber müssen Update, Erreichbarkeit und Protokolle gemeinsam prüfen.
PHP2Shell: Cloudflare zählt Millionen Angriffsversuche
Nach der Veröffentlichung der PHP2Shell-Lücken stieg das beobachtete Angriffsvolumen binnen Stunden auf Millionen Versuche. Damit wird aus der Patchwarnung ein laufendes Incident-Thema; Betreiber müssen Update, Erreichbarkeit und Protokolle gemeinsam prüfen.
Cloudflare hat nach der öffentlichen Bekanntgabe der PHP2Shell-Lücken Millionen Ausnutzungsversuche beobachtet. Nach Angaben von Firmenchef Matthew Prince registrierte das Netzwerk bereits in den zehn Stunden vor der Veröffentlichung Tausende Versuche. Innerhalb von 45 Minuten danach seien es Zehntausende, nach zwei Stunden Hunderttausende und anschließend insgesamt Millionen gewesen.
Das ist das materielle Delta zur Patchmeldung vom 21. Oktober: Die verfügbaren PHP-Updates bleiben die zentrale Maßnahme, doch das Risiko ist nicht mehr nur theoretisch. Das gemeldete Volumen und die schnelle Anpassung von Angriffsdaten machen PHP2Shell zu einem laufenden Incident-Thema. Reuters berichtet zudem über vorsorglich abgeschaltete Behördenangebote und zeitweise ausgesetzte Onlinedienste beim japanischen Finanzkonzern Mitsubishi UFJ.
Schutzregeln waren vor der Veröffentlichung aktiv
Cloudflare beschreibt zwei Schwachstellen, CVE-2026-109618 und CVE-2026-109619, die PHP-Webserver ab Version 5.4 betreffen können. Präparierte HTTP-Anfragen können je nach Konfiguration zu Dienstverweigerung, Datenzugriff oder Codeausführung führen. Der Anbieter schaltete seine standardmäßigen WAF-Regeln nach eigener Darstellung am 21. Oktober um 03:02 Uhr UTC frei, ungefähr neun Stunden vor der öffentlichen Offenlegung.
Diese Schutzschicht kann das Risiko für korrekt angebundene Kunden reduzieren, ersetzt aber kein Update. Cloudflare beobachtete veränderte Angriffsdaten, mit denen Schutzregeln umgangen werden sollten. Außerdem hängt die Wirksamkeit einer WAF von Routing, Konfiguration und der Frage ab, ob jeder erreichbare Ursprung tatsächlich über sie läuft.
Patchstatus und Angriffsindikatoren zusammenführen
Betreiber sollten jetzt nicht nur den installierten PHP-Stand erfassen. Zu prüfen sind auch Zeitfenster zwischen erster Erreichbarkeit, Aktivierung vorgeschalteter Regeln und Einspielen der Herstellerkorrektur. Webserver-, WAF-, Prozess- und Authentifizierungsprotokolle gehören für diesen Zeitraum gesichert und auf ungewöhnliche Anfragen, neue Dateien, unerwartete Prozesse und ausgehende Verbindungen untersucht.
Keine pauschale Aussage über erfolgreiche Einbrüche
Die Millionen Treffer belegen Angriffstätigkeit, nicht Millionen erfolgreiche Kompromittierungen. Ein einzelner Versuch kann von automatisierten Scannern stammen und an Schutzregeln oder einer nicht betroffenen Konfiguration scheitern. Umgekehrt beweist ein laufender Webdienst nicht, dass kein Angriff erfolgreich war. Die belastbare Bewertung entsteht erst aus Patchnachweis, Expositionsanalyse und Protokollprüfung.
Bei Dienstleistern reicht die Aussage „WAF aktiv“ nicht als Abschluss. Benötigt werden der konkret geschützte Hostname, die Regelaktivierung, der Patchstand der PHP-Laufzeit und eine Aussage zur Protokollprüfung. Systeme, die nicht rechtzeitig aktualisiert oder belastbar abgeschirmt werden können, sollten kontrolliert isoliert werden.
Cloudflare hat nach der öffentlichen Bekanntgabe der PHP2Shell-Lücken Millionen Ausnutzungsversuche beobachtet. Nach Angaben von Firmenchef Matthew Prince registrierte das Netzwerk bereits in den zehn Stunden vor der Veröffentlichung Tausende Versuche. Innerhalb von 45 Minuten danach seien es Zehntausende, nach zwei Stunden Hunderttausende und anschließend insgesamt Millionen gewesen.
Das ist das materielle Delta zur Patchmeldung vom 21. Oktober: Die verfügbaren PHP-Updates bleiben die zentrale Maßnahme, doch das Risiko ist nicht mehr nur theoretisch. Das gemeldete Volumen und die schnelle Anpassung von Angriffsdaten machen PHP2Shell zu einem laufenden Incident-Thema. Reuters berichtet zudem über vorsorglich abgeschaltete Behördenangebote und zeitweise ausgesetzte Onlinedienste beim japanischen Finanzkonzern Mitsubishi UFJ.
Schutzregeln waren vor der Veröffentlichung aktiv
Cloudflare beschreibt zwei Schwachstellen, CVE-2026-109618 und CVE-2026-109619, die PHP-Webserver ab Version 5.4 betreffen können. Präparierte HTTP-Anfragen können je nach Konfiguration zu Dienstverweigerung, Datenzugriff oder Codeausführung führen. Der Anbieter schaltete seine standardmäßigen WAF-Regeln nach eigener Darstellung am 21. Oktober um 03:02 Uhr UTC frei, ungefähr neun Stunden vor der öffentlichen Offenlegung.
Diese Schutzschicht kann das Risiko für korrekt angebundene Kunden reduzieren, ersetzt aber kein Update. Cloudflare beobachtete veränderte Angriffsdaten, mit denen Schutzregeln umgangen werden sollten. Außerdem hängt die Wirksamkeit einer WAF von Routing, Konfiguration und der Frage ab, ob jeder erreichbare Ursprung tatsächlich über sie läuft.
Patchstatus und Angriffsindikatoren zusammenführen
Betreiber sollten jetzt nicht nur den installierten PHP-Stand erfassen. Zu prüfen sind auch Zeitfenster zwischen erster Erreichbarkeit, Aktivierung vorgeschalteter Regeln und Einspielen der Herstellerkorrektur. Webserver-, WAF-, Prozess- und Authentifizierungsprotokolle gehören für diesen Zeitraum gesichert und auf ungewöhnliche Anfragen, neue Dateien, unerwartete Prozesse und ausgehende Verbindungen untersucht.
Keine pauschale Aussage über erfolgreiche Einbrüche
Die Millionen Treffer belegen Angriffstätigkeit, nicht Millionen erfolgreiche Kompromittierungen. Ein einzelner Versuch kann von automatisierten Scannern stammen und an Schutzregeln oder einer nicht betroffenen Konfiguration scheitern. Umgekehrt beweist ein laufender Webdienst nicht, dass kein Angriff erfolgreich war. Die belastbare Bewertung entsteht erst aus Patchnachweis, Expositionsanalyse und Protokollprüfung.
Quellen
Transparenz: Konzept, Auswahlkriterien und inhaltliche Vorgaben stammen von Christian Hohlfeld. Recherche und Formulierung wurden nach diesen Vorgaben mit KI-Werkzeugen unterstützt. Redaktionell geprüft und freigegeben von Christian Heinrich Hohlfeld am .