[{"data":1,"prerenderedAt":1336},["ShallowReactive",2],{"post-de-php2shell-angriffe-vor-dem-patch":3,"related-de-php2shell-angriffe-vor-dem-patch":274},{"id":4,"title":5,"author":6,"body":7,"category":244,"date":245,"description":246,"draft":247,"extension":248,"faq":249,"image":259,"imageAlt":260,"lang":261,"legacyUrl":262,"meta":263,"navigation":264,"path":265,"readingTime":266,"seo":267,"sitemap":268,"stem":269,"tags":270,"translation":272,"updated":262,"__hash__":273},"insightsDe\u002Fde\u002Finsights\u002Fphp2shell-angriffe-vor-dem-patch.md","PHP2Shell: Die Angriffe begannen vier Tage vor dem Patch","blacklens.io Team",{"type":8,"value":9,"toc":235},"minimark",[10,14,19,30,38,42,51,119,122,126,129,137,141,144,197,207,210,214,217],[11,12,13],"p",{},"Vier Tage bevor PHP die beiden Lücken öffentlich machte, lief der erste Angriffsversuch. Amazon Threat Intelligence fand ihn in der Telemetrie seines Honeypot-Netzwerks MadPot, datiert auf den 17. Oktober 2026. Wer PHP2Shell abschließt, sobald die Versionsnummer stimmt, prüft damit vier Tage zu wenig.",[15,16,18],"h2",{"id":17},"was-amazon-vor-der-offenlegung-gesehen-hat","Was Amazon vor der Offenlegung gesehen hat",[11,20,21,22,29],{},"Amazon Threat Intelligence hat am 21. Oktober 2026 veröffentlicht, dass der früheste Ausnutzungsversuch von PHP2Shell in seiner ",[23,24,28],"a",{"href":25,"rel":26},"https:\u002F\u002Faws.amazon.com\u002Fblogs\u002Fsecurity\u002Famazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot\u002F",[27],"nofollow","MadPot-Telemetrie"," auf den 17. Oktober 2026 datiert – vier Tage vor der Offenlegung, drei Tage vor dem Leak. Die Anfrage kam aus einem kommerziellen Anonymisierungsnetz und traf einen Honeypot, für Amazon ein Hinweis auf einen Angreifer und nicht auf Forschung. Wie der Akteur vorab an Exploit-Informationen kam, ist offen.",[11,31,32,33,37],{},"Ab 02:00 UTC am 21. Oktober, zwölf Stunden vor dem Release um 14:00 UTC, sah MadPot mehrere Proof-of-Concept-Exploits von weiterer anonymisierter Infrastruktur. Payloads und Herkunft unterschieden sich, was auf mehrere unabhängige Akteure deutet; ob einer gegen echte Systeme funktioniert hätte, lässt Amazon offen. CJ Moses, CISO von Amazon Integrated Security, fasst den Stand nach dem Release in einem Satz zusammen: „PHP2Shell is now being broadly exploited in the wild.“ Mechanismus, Patch-Stände und Sofortmaßnahmen stehen im ",[23,34,36],{"href":35},"\u002Fde\u002Finsights\u002Fphp2shell-kritische-rce-lucken-in-php","Beitrag von gestern",".",[15,39,41],{"id":40},"wie-die-exploits-vor-den-patch-kamen","Wie die Exploits vor den Patch kamen",[11,43,44,45,50],{},"Der 17. Oktober bleibt unerklärt, die zwölf Stunden vor dem Release nicht. Die PHP Foundation hat diese Kette in ihrem ",[23,46,49],{"href":47,"rel":48},"https:\u002F\u002Fthephp.foundation\u002Fblog\u002F2026\u002F10\u002F21\u002Ftodays-php-security-release-and-how-were-strengthening-php-security\u002F",[27],"Postmortem vom 21. Oktober"," offengelegt:",[52,53,54,67],"table",{},[55,56,57],"thead",{},[58,59,60,64],"tr",{},[61,62,63],"th",{},"Zeitpunkt (UTC)",[61,65,66],{},"Ereignis",[68,69,70,79,87,95,103,111],"tbody",{},[58,71,72,76],{},[73,74,75],"td",{},"17. Okt.",[73,77,78],{},"Erster Angriffsversuch in Amazons Honeypot-Telemetrie, Quelle unbekannt",[58,80,81,84],{},[73,82,83],{},"20. Okt., 15:00",[73,85,86],{},"CVE-Nummern kursieren in Foren, mit falscher Release-Zeit und falschem CVSS 10.0",[58,88,89,92],{},[73,90,91],{},"20. Okt., 20:00",[73,93,94],{},"Calif veröffentlicht versehentlich ein Video des eigenen Exploits",[58,96,97,100],{},[73,98,99],{},"20. Okt., 23:00",[73,101,102],{},"Mitigationshinweise an Betreiber kritischer Infrastruktur könnten abgeflossen sein",[58,104,105,108],{},[73,106,107],{},"21. Okt., 07:41",[73,109,110],{},"Chainguard veröffentlicht Container-Images mit dem Fix, sechs Stunden zu früh",[58,112,113,116],{},[73,114,115],{},"21. Okt., 14:00",[73,117,118],{},"Koordinierte Veröffentlichung von Advisories und Releases",[11,120,121],{},"An Chainguards Alleingang stört die Foundation nicht die frühe Verfügbarkeit des Fixes, sondern seine Vergleichbarkeit: „Any attacker could now study the fix in binary form while every other PHP user was still waiting for the release.“ Chainguards CEO Dan Lorenc bestreitet den Zeitpunkt nicht, wohl aber die Bewertung: „I made the call to get these out early when exploits hit in the wild.“ Das Sicherheitsteam der Foundation selbst hatte zum Release keinen funktionsfähigen öffentlichen Exploit identifiziert und nennt die Verzögerung seit dem ersten Hinweis von 2024 „a structural failure“.",[15,123,125],{"id":124},"stand-22-oktober-millionen-versuche-keine-bestätigte-übernahme","Stand 22. Oktober: Millionen Versuche, keine bestätigte Übernahme",[11,127,128],{},"Bestätigt ist bis heute kein erfolgreicher Einbruch über PHP2Shell – bestätigt ist die Zahl der Versuche. Cloudflare-Chef Matthew Prince nennt für das eigene Netz Tausende Versuche in den zehn Stunden vor der Ankündigung, Zehntausende in den 45 Minuten danach, Hunderttausende binnen zwei Stunden und inzwischen Millionen. Cloudflare beobachtet außerdem, dass Angreifer ihre Payloads variieren und dabei auswerten, welche Anfragen die Web Application Firewall blockt.",[11,130,131,132,136],{},"Gegen die Masse steht die Qualität. Jake Knott von watchTowr sagt, keiner der kursierenden Proof-of-Concepts erreiche Code-Ausführung: Sie scheitern, messen Zeitunterschiede oder bringen den Zielprozess zum Absturz. VulnCheck sah mindestens eine Adresse, die erfolglos versuchte, eine Webshell abzulegen. Das BSI schreibt in Version 1.1 seiner Warnung vom 21. Oktober: „Zum aktuellen Zeitpunkt sind noch keine bestätigten Ausnutzungen der Schwachstellen bekannt.“ Im ",[23,133,135],{"href":134},"\u002Fde\u002Fwissen\u002Fcisa-kev","CISA-KEV-Katalog"," stehen beide Nummern am 22. Oktober weiterhin nicht. JFrog fand in öffentlichen Repositories außerdem gefälschte Exploits und Scherz-Malware – wer solchen Code gegen eigene Systeme testet, prüft womöglich etwas anderes als die Lücke.",[15,138,140],{"id":139},"was-das-für-ihre-untersuchung-bedeutet","Was das für Ihre Untersuchung bedeutet",[11,142,143],{},"Amazon empfiehlt, den Untersuchungszeitraum am 17. Oktober zu beginnen, nicht am Patch-Tag. Praktisch heißt das zuerst, Beweise zu sichern, bevor die Rotation sie löscht: Webserver-Logs sowie Prozess- und Dateizustände aller erreichbaren PHP-Systeme ab dem 16. Oktober.",[145,146,147,164,185,191],"ul",{},[148,149,150,154,155,159,160,163],"li",{},[151,152,153],"strong",{},"Anfragen:"," POST-Anfragen, die in ",[156,157,158],"code",{},"multipart\u002Fform-data","-Körpern die Zeichenfolge ",[156,161,162],{},"PHP_SESSION_UPLOAD_PROGRESS"," tragen; dazu Häufungen von HTTP 500 und abgestürzte PHP-Worker.",[148,165,166,169,170,173,174,173,177,180,181,184],{},[151,167,168],{},"Prozesse:"," jede Shell, jeder Interpreter und jedes Download-Werkzeug, das ",[156,171,172],{},"php-fpm",", ",[156,175,176],{},"php-cgi",[156,178,179],{},"httpd"," oder ",[156,182,183],{},"apache2"," gestartet hat, dazu neue Dateien im Webroot.",[148,186,187,190],{},[151,188,189],{},"Erkennung ohne Signatur:"," Amazon empfiehlt Detektionen, die nicht an CVE-spezifischen Signaturen hängen – die erste Ausnutzung liegt regelmäßig vor der ersten Signatur.",[148,192,193,196],{},[151,194,195],{},"Indikatoren:"," Amazon veröffentlicht sechs Adressen aus seiner Telemetrie. Sie gehören zu gemeinsam genutzter Anonymisierungsinfrastruktur und sind nicht exklusiv für diese Aktivität – als Suchanlass taugen sie, als Blockliste nicht.",[198,199,204],"pre",{"className":200,"code":202,"language":203},[201],"language-text","103.216.220.92     17.10.2026\n31.223.184.166     21.10.2026\n37.19.200.5        21.10.2026\n134.209.159.64     21.10.2026\n103.114.163.188    21.10.2026\n95.217.98.37       21.10.2026\n","text",[156,205,202],{"__ignoreMap":206},"",[11,208,209],{},"Für die Frist, die solche Fälle setzen, ist Amazons nüchternster Satz der wichtigste: „A 7-day or 30-day SLA assumes a delay that no longer exists.“ Der Grund ist strukturell und nicht auf PHP beschränkt: KI-gestützte Analyse macht es billiger, aus einem Patch-Diff oder einem Advisory einen funktionierenden Exploit zu bauen.",[15,211,213],{"id":212},"was-hilft-und-warum-sichtbarkeit-entscheidet","Was hilft – und warum Sichtbarkeit entscheidet",[11,215,216],{},"Eine Frist in Stunden setzt voraus, dass das Inventar vorliegt, wenn das Advisory erscheint – zwischen dem 17. und dem 21. Oktober war genau das die einzige nutzbare Information.",[11,218,219,220,224,225,229,230,234],{},"blacklens.io erfasst über ",[23,221,223],{"href":222},"\u002Fde\u002Fplatform\u002Fattack-surface-management","Attack Surface Management"," laufend, welche Dienste und Webanwendungen von außen erreichbar sind und welche Technologien darauf laufen; interne Systeme deckt der ",[23,226,228],{"href":227},"\u002Fde\u002Fplatform\u002Fsentry","Sentry Agent"," ab. Das ",[23,231,233],{"href":232},"\u002Fde\u002Fplatform\u002Femerging-threats","Threat Center"," gleicht neue CVEs mit diesem Inventar ab und zeigt je Treffer EPSS-Wert, KEV-Eintrag, verfügbare Exploits und ob die Zuordnung auf der exakten Version oder nur auf dem Produkt beruht. Die Spurensuche auf dem Host selbst deckt das nicht ab; dafür bleiben Logs und Überwachung auf dem System zuständig.",{"title":206,"searchDepth":236,"depth":236,"links":237},3,[238,240,241,242,243],{"id":17,"depth":239,"text":18},2,{"id":40,"depth":239,"text":41},{"id":124,"depth":239,"text":125},{"id":139,"depth":239,"text":140},{"id":212,"depth":239,"text":213},"threat","2026-10-22","Amazon fand den ersten PHP2Shell-Angriffsversuch am 17. Oktober 2026, vier Tage vor der Offenlegung. Das verschiebt den Zeitraum jeder Prüfung.",false,"md",[250,253,256],{"q":251,"a":252},"Wurde PHP2Shell schon vor der Offenlegung ausgenutzt?","Ja, nach Angaben von Amazon Threat Intelligence. Der früheste Ausnutzungsversuch in der Telemetrie des Honeypot-Netzwerks MadPot datiert auf den 17. Oktober 2026, vier Tage vor PHPs Advisory, und kam aus einem kommerziellen Anonymisierungsnetz. Wie der Akteur vorab an Exploit-Informationen kam, ist offen. Weitere Proof-of-Concept-Versuche folgten ab 02:00 UTC am 21. Oktober, zwölf Stunden vor dem Release.",{"q":254,"a":255},"Ab welchem Datum sollte ich nach einer Kompromittierung suchen?","Amazon empfiehlt, Untersuchungen zu PHP2Shell mindestens bis zum 17. Oktober 2026 zurückzuführen statt nur bis zum Patch-Tag. Praktisch heißt das, Webserver-Logs sowie Prozess- und Dateizustände der erreichbaren PHP-Systeme ab dem 16. Oktober zu sichern, bevor die Rotation sie löscht. Gesucht wird nach POST-Anfragen mit der Zeichenfolge PHP_SESSION_UPLOAD_PROGRESS, nach Prozessen, die ein PHP-Worker gestartet hat, und nach neuen Dateien im Webroot.",{"q":257,"a":258},"Wie schnell muss ein kritisches Update eingespielt sein?","Amazon empfiehlt für kritische Schwachstellen in internet-erreichbaren Systemen Patch- und Mitigationsfristen in Stunden: Eine Frist von 7 oder 30 Tagen unterstelle eine Verzögerung, die es nicht mehr gebe. Das setzt voraus, dass das Inventar am Tag des Advisories vorliegt. blacklens.io gleicht neue CVEs im Threat Center laufend mit den erfassten Technologien ab und zeigt je Treffer CVSS, EPSS, KEV-Eintrag und ob ein Exploit öffentlich ist.","\u002Fimages\u002Finsights\u002Fphp2shell-angriffe-vor-dem-patch.webp","Zeitachse mit dem ersten Angriffsversuch am 17. Oktober und dem PHP-Patch am 21. Oktober 2026","de",null,{},true,"\u002Fde\u002Finsights\u002Fphp2shell-angriffe-vor-dem-patch",5,{"title":5,"description":246},{"loc":265},"de\u002Finsights\u002Fphp2shell-angriffe-vor-dem-patch",[271],"Bedrohungslage","php2shell-angriffe-vor-dem-patch","sjAgmb1bKVf424gYdXj2DQbzJoOKk7-xPN4BrmFJ6jM",[275,545,1133],{"id":276,"title":277,"author":6,"body":278,"category":244,"date":245,"description":524,"draft":247,"extension":248,"faq":525,"image":535,"imageAlt":536,"lang":261,"legacyUrl":262,"meta":537,"navigation":264,"path":538,"readingTime":266,"seo":539,"sitemap":540,"stem":541,"tags":542,"translation":543,"updated":262,"__hash__":544},"insightsDe\u002Fde\u002Finsights\u002Ffortinet-hardening-release-patchen-ohne-advisory.md","Fortinet Hardening Release: Patchen ohne Advisory",{"type":8,"value":279,"toc":515},[280,283,287,296,371,391,395,398,412,416,422,425,429,432,440,444,447,473,476,480,495,497,509],[11,281,282],{},"Fortinet liefert am 22. Oktober 2026 Sicherheitsupdates für FortiOS, FortiManager und FortiAnalyzer aus, einen Tag nach FortiMail und FortiAuthenticator. Als kritisch und hoch eingestuft – aber ohne CVE-Nummer, ohne CVSS-Wert und ohne Angriffsbeschreibung. Die Advisories folgen erst am 10. November. Wer diese Woche patcht, schließt Lücken, die er nicht benennen kann.",[15,284,286],{"id":285},"was-fortinet-am-22-oktober-ausliefert","Was Fortinet am 22. Oktober ausliefert",[11,288,289,290,295],{},"Das Security Hardening Release ist ein gebündelter Satz Sicherheitsupdates für fünf Produktlinien, angekündigt am 21. Oktober 2026 von Fortinet-CISO Carl Windsor in ",[23,291,294],{"href":292,"rel":293},"https:\u002F\u002Fwww.fortinet.com\u002Fblog\u002Fciso-collective\u002Ffortinet-releases-security-hardening-release-for-multiple-products",[27],"Fortinets CISO-Blog",". FortiMail und FortiAuthenticator sind seit dem 21. Oktober verfügbar. Zum Inhalt steht dort ein Satz: „These releases include critical and high-severity fixes.“",[52,297,298,311],{},[55,299,300],{},[58,301,302,305,308],{},[61,303,304],{},"Branch",[61,306,307],{},"FortiOS",[61,309,310],{},"FortiManager und FortiAnalyzer",[68,312,313,327,341,356],{},[58,314,315,318,323],{},[73,316,317],{},"8.0",[73,319,320],{},[156,321,322],{},"8.0.2",[73,324,325],{},[156,326,322],{},[58,328,329,332,337],{},[73,330,331],{},"7.6",[73,333,334],{},[156,335,336],{},"7.6.8",[73,338,339],{},[156,340,336],{},[58,342,343,346,351],{},[73,344,345],{},"7.4",[73,347,348],{},[156,349,350],{},"7.4.13",[73,352,353],{},[156,354,355],{},"7.4.12",[58,357,358,361,366],{},[73,359,360],{},"7.2",[73,362,363],{},[156,364,365],{},"7.2.14",[73,367,368],{},[156,369,370],{},"7.2.13",[11,372,373,374,173,376,379,380,383,384,379,387,390],{},"Betroffen ist jeweils alles darunter. Für FortiMail gelten ",[156,375,322],{},[156,377,378],{},"7.6.7"," und ",[156,381,382],{},"7.4.9",", für FortiAuthenticator ",[156,385,386],{},"8.0.4",[156,388,389],{},"6.6.11","; FortiMail 7.2 bekommt keinen Fix, sondern den Wechsel auf die 7.4er-Reihe. FortiSASE aktualisiert Fortinet selbst, FortiManager Cloud kann einen manuellen Schritt erfordern.",[15,392,394],{"id":393},"warum-es-keine-cve-nummern-gibt","Warum es keine CVE-Nummern gibt",[11,396,397],{},"Die Advisories erscheinen laut Fortinet erst am nächsten Patch Tuesday, dem 10. November, auf der Advisory-Seite des Fortinet Product Security Incident Response Team – als Teil einer „ongoing commitment to responsible transparency while balancing customer security“. Knapp drei Wochen Vorsprung für Betreiber, so ist es gedacht.",[11,399,400,401,406,407,411],{},"Die Herkunft der Lücken erklärt die Bündelung. Sie stammen nicht von externen Meldern, sondern aus Fortinets eigenem KI-gestützten Testprogramm; Fortinet dankt Anthropic, OpenAI, Google und SpaceX für die Zusammenarbeit. Wie das abläuft, hat Windsor ",[23,402,405],{"href":403,"rel":404},"https:\u002F\u002Fwww.fortinet.com\u002Fblog\u002Fciso-collective\u002Fupdate-on-fortinet-use-of-frontier-ai",[27],"im Juni 2026 beschrieben",": Mehrere Frontier-Modelle gleichen den Quellcode mit einem zuvor erstellten Bedrohungsmodell der Firmware ab; was übrig bleibt, validiert ein Penetrationstest. Bei über 100 Tests in 30 Produktfamilien waren 40 Prozent der Befunde echte Treffer und 30 Prozent Fehlalarme. Was im April mit ",[23,408,410],{"href":409},"\u002Fde\u002Finsights\u002Fclaude-mythos-wenn-schwachstellen-schneller-kommen-als-patches","Claude Mythos"," als Ausblick begann, kommt jetzt als Firmware-Update.",[15,413,415],{"id":414},"ein-patch-ohne-cve-nummer-ist-für-scanner-und-richtlinien-unsichtbar","Ein Patch ohne CVE-Nummer ist für Scanner und Richtlinien unsichtbar",[11,417,418,419,421],{},"Schwachstellen-Scanner, Patch-Richtlinien und Ticketsysteme arbeiten mit CVE-Nummern. Fehlt die Nummer, fehlt alles, was daran hängt: kein NVD-Eintrag, kein EPSS-Wert, kein Eintrag im ",[23,420,135],{"href":134},", kein CVSS-Wert, ab dem eine Patch-Richtlinie greift. Ein Change-Antrag, der seine Begründung sonst aus CVE-Nummer und Schweregrad bezieht, stützt sich in diesen 19 Tagen allein auf die Ankündigung des Herstellers.",[11,423,424],{},"Damit verschiebt sich die Frage: nicht mehr, welche CVE uns betrifft, sondern welche Version auf welchem erreichbaren Gerät läuft – und ob sie älter ist als die gepatchte. Auch die Risikoabwägung verliert ihre Grundlage, denn über Angriffsvoraussetzungen und Ausnutzbarkeit lässt sich vor dem 10. November nichts sagen. Bleibt die Erreichbarkeit von außen: Ein FortiManager, der im Internet steht, ist das Problem – mit oder ohne CVE-Nummer.",[15,426,428],{"id":427},"patch-diffing-die-uhr-läuft-ab-dem-release","Patch Diffing: die Uhr läuft ab dem Release",[11,430,431],{},"Der Vorsprung, den die zurückgehaltenen Advisories schaffen sollen, gilt nur für den, der liest – nicht für den, der vergleicht. Fortinet benennt das Risiko selbst: Mit der Veröffentlichung zeigt der Patch, wo im Code sich etwas geändert hat. Besonders gut taugen die Modelle laut dem Juni-Beitrag für genau das – „analyzing firmware, assessing changes between versions, and developing proof-of-concept exploits“. Fortinet rechnet mit Exploits in Stunden bis Tagen statt Wochen; der FortiGuard-Bericht 2026 beziffert die Zeit bis zur Ausnutzung bei kritischen Ausbrüchen mit 24 bis 48 Stunden, nach 4,76 Tagen im Schnitt 2024.",[11,433,434,435,439],{},"Dass Fortinet-Geräte ein bevorzugtes Ziel sind, ist belegt: Im CISA-KEV-Katalog stehen mit Stand 21. Oktober 2026 32 Einträge zu Fortinet-Produkten, zwei aus diesem Monat; wie konsequent Angreifer exponierte Management-Oberflächen abarbeiten, zeigte ",[23,436,438],{"href":437},"\u002Fde\u002Finsights\u002Ffortibleed-wenn-zehntausende-firewalls-zur-offenen-tur-werden","FortiBleed",". Für die Lücken aus diesem Release ist bislang keine Ausnutzung bekannt; Fortinet nennt die Fixes ausdrücklich vorbeugend.",[15,441,443],{"id":442},"was-jetzt-zu-tun-ist","Was jetzt zu tun ist",[11,445,446],{},"Fortinet empfiehlt, das Release als vorrangige Änderung zu behandeln, nicht als Routinewartung, und nennt vier Schritte:",[145,448,449,455,461,467],{},[148,450,451,454],{},[151,452,453],{},"Inventar:"," jede FortiManager-Installation und jede FortiOS-Instanz erfassen, die aus dem Internet erreichbaren zuerst.",[148,456,457,460],{},[151,458,459],{},"Wartungsfenster:"," für exponierte Systeme auf den 22. und 23. Oktober legen.",[148,462,463,466],{},[151,464,465],{},"Konfiguration sichern:"," vor dem Upgrade, nicht danach.",[148,468,469,472],{},[151,470,471],{},"Logs prüfen:"," auf ungewöhnliche administrative Zugriffe und nicht genehmigte Konfigurationsänderungen, vor und nach dem Patchen.",[11,474,475],{},"Wo sich nicht sofort aktualisieren lässt, empfiehlt Fortinet, die Management-Zugänge über HTTPS und SSH auf vertrauenswürdige Adressen zu begrenzen, FortiManager vom Internet zu trennen und MFA für alle Administratorkonten zu erzwingen. Fortinet dazu: „These steps reduce risk but do not replace the need for a timely upgrade.“",[15,477,479],{"id":478},"nicht-zu-verwechseln-php2shell-läuft-parallel","Nicht zu verwechseln: PHP2Shell läuft parallel",[11,481,482,483,486,487,490,491,494],{},"Die beiden PHP-Lücken vom 21. Oktober gehören nicht zu diesem Release. Fortinet führt sie getrennt im Advisory ",[156,484,485],{},"FG-IR-26-186"," und stuft ",[156,488,489],{},"CVE-2026-109618"," dort als kritisch mit CVSS 9.8 ein. Laut einer Auswertung von Help Net Security vom 22. Oktober listet Fortinet zwölf Produkte als nicht betroffen, darunter FortiOS, FortiManager, FortiAnalyzer, FortiMail und FortiWeb, und zwölf weitere als in Prüfung. Palo Alto Networks meldet PAN-OS und Panorama in allen Versionen als betroffen, noch ohne Fix. Mechanismus und Sofortmaßnahmen stehen in unserem Beitrag zu ",[23,492,493],{"href":35},"PHP2Shell",". Für Fortinet-Betreiber sind das diese Woche zwei getrennte Aufgaben.",[15,496,213],{"id":212},[11,498,499,500,502,503,505,506,508],{},"Solange die CVE-Nummern fehlen, ist das Versionsinventar die einzige belastbare Grundlage. blacklens.io erfasst über ",[23,501,223],{"href":222}," laufend von außen, welche Dienste erreichbar sind und welche Technologien in welcher Version darauf laufen; das Technologie-Inventar ist nach Hersteller und Produkt filterbar, interne Installationen deckt der ",[23,504,228],{"href":227}," ab. Das beantwortet die Frage, die diese Woche zählt: Wo läuft eine Version älter als ",[156,507,336],{},", und ist sie aus dem Internet erreichbar?",[11,510,511,512,514],{},"Das ",[23,513,233],{"href":232}," gleicht neue CVEs in Echtzeit mit diesem Inventar ab und weist aus, ob ein Treffer auf der exakten Version beruht oder nur auf dem Produkt – für dieses Release beginnt das am 10. November, vorher gibt es keine Nummern zum Abgleichen. Diese Woche ist das Release eine Inventarfrage. Die Schwachstellenfrage kommt im November.",{"title":206,"searchDepth":236,"depth":236,"links":516},[517,518,519,520,521,522,523],{"id":285,"depth":239,"text":286},{"id":393,"depth":239,"text":394},{"id":414,"depth":239,"text":415},{"id":427,"depth":239,"text":428},{"id":442,"depth":239,"text":443},{"id":478,"depth":239,"text":479},{"id":212,"depth":239,"text":213},"Fortinet liefert am 22. Oktober 2026 kritische Fixes für FortiOS, FortiManager und FortiAnalyzer aus. Die Advisories mit CVE-Nummern folgen am 10. November.",[526,529,532],{"q":527,"a":528},"Was ist Fortinets Security Hardening Release vom Oktober 2026?","Das Security Hardening Release ist ein gebündelter Satz Sicherheitsupdates, den Fortinet am 21. und 22. Oktober 2026 für FortiMail, FortiAuthenticator, FortiOS, FortiManager und FortiAnalyzer ausgeliefert hat. Fortinet stuft die behobenen Lücken als kritisch und hoch ein, nennt aber vorerst keine CVE-Nummern, keine CVSS-Werte und keine Angriffsvoraussetzungen. Die Advisories erscheinen laut Ankündigung am 10. November 2026. Gefunden wurden die Lücken im KI-gestützten Testprogramm von Fortinet.",{"q":530,"a":531},"Welche Fortinet-Versionen beheben die Schwachstellen?","Behoben sind die Lücken laut Fortinets Ankündigung in FortiOS 8.0.2, 7.6.8, 7.4.13 und 7.2.14 sowie in FortiManager und FortiAnalyzer 8.0.2, 7.6.8, 7.4.12 und 7.2.13. Für FortiMail gelten 8.0.2, 7.6.7 und 7.4.9, für FortiAuthenticator 8.0.4 und 6.6.11. FortiMail 7.2 erhält keinen Fix, sondern den Wechsel auf die 7.4er-Reihe. FortiSASE aktualisiert Fortinet selbst, FortiManager Cloud kann einen manuellen Schritt erfordern.",{"q":533,"a":534},"Warum ist ein Patch ohne CVE-Nummer für Schwachstellen-Scanner ein Problem?","Ein Patch ohne CVE-Nummer bleibt für alles unsichtbar, was Schwachstellen über CVE-Nummern steuert: Schwachstellen-Scanner, Patch-Richtlinien, Ticketsysteme. Ohne die Nummer gibt es keinen NVD-Eintrag, keinen EPSS-Wert, keinen CISA-KEV-Status und keinen CVSS-Wert, ab dem eine Patch-Richtlinie greift. Bis die Advisories erscheinen, bleibt nur der Versionsvergleich: Welche Fortinet-Version läuft auf welchem erreichbaren System? Diese Frage beantwortet ein laufend aktualisiertes Technologie-Inventar.","\u002Fimages\u002Finsights\u002Ffortinet-hardening-release-patchen-ohne-advisory.webp","Tablet mit geöffneter Fortinet-Website vor einem unscharfen Monitor mit Quellcode",{},"\u002Fde\u002Finsights\u002Ffortinet-hardening-release-patchen-ohne-advisory",{"title":277,"description":524},{"loc":538},"de\u002Finsights\u002Ffortinet-hardening-release-patchen-ohne-advisory",[271],"fortinet-hardening-release-patchen-ohne-advisory","OoV7Gykawmn_xKeReTXorGcXs_Srwuvo3ki4PbubDqo",{"id":546,"title":547,"author":6,"body":548,"category":244,"date":1110,"description":1111,"draft":247,"extension":248,"faq":1112,"image":1124,"imageAlt":1125,"lang":261,"legacyUrl":262,"meta":1126,"navigation":264,"path":35,"readingTime":962,"seo":1127,"sitemap":1128,"stem":1129,"tags":1130,"translation":1131,"updated":245,"__hash__":1132},"insightsDe\u002Fde\u002Finsights\u002Fphp2shell-kritische-rce-lucken-in-php.md","PHP2Shell: Patches sind da, die Ursache war eine andere",{"type":8,"value":549,"toc":1100},[550,553,559,563,592,595,599,608,618,622,631,634,689,703,707,710,771,774,778,787,876,891,894,898,912,983,986,1019,1022,1026,1032,1045,1054,1076,1078,1081,1096],[11,551,552],{},"PHP hat am 21. Oktober 2026 außerplanmäßige Sicherheitsupdates für zwei kritische Lücken veröffentlicht, die unter dem Namen PHP2Shell kursieren: die Fassungen 8.2.35, 8.3.36, 8.4.27 und 8.5.12. Beide Lücken erlauben Remote Code Execution ohne Anmeldung, beide liegen im PHP-Core und nicht in einer Anwendung. Und beide haben eine andere Ursache als die, die seit dem Leak vom 20. Oktober durch Foren und Newsletter lief.",[11,554,555],{},[556,557,558],"em",{},"Aktualisiert am 21. Oktober 2026, nach dem Release: Dieser Beitrag beschrieb vorher einen noch nicht veröffentlichten Patch und folgte der damaligen Lesart, Session Upload Progress sei die Ursache. PHPs Advisory widerlegt das. Mechanismus, Sofortmaßnahmen und Versionsangaben stehen jetzt auf den offiziellen Advisories.",[15,560,562],{"id":561},"was-ist-php2shell","Was ist PHP2Shell?",[11,564,565,566,379,572,579,580,584,585,379,588,591],{},"PHP2Shell ist der inoffizielle Name für zwei kritische Schwachstellen im PHP-Core, geführt als ",[23,567,570],{"href":568,"rel":569},"https:\u002F\u002Fgithub.com\u002Fphp\u002Fphp-src\u002Fsecurity\u002Fadvisories\u002FGHSA-w8hw-w9fx-j79w",[27],[156,571,489],{},[23,573,576],{"href":574,"rel":575},"https:\u002F\u002Fgithub.com\u002Fphp\u002Fphp-src\u002Fsecurity\u002Fadvisories\u002FGHSA-6wmf-4rv5-p3rp",[27],[156,577,578],{},"CVE-2026-109619",". Beide erlauben unauthentifizierte Remote Code Execution, also das Ausführen eigener Befehle auf dem Server mit den Rechten des Webserver-Prozesses. PHP bewertet beide mit ",[23,581,583],{"href":582},"\u002Fde\u002Fwissen\u002Fcvss","CVSS"," 9.2 nach Version 4.0. Dass es nicht 10.0 geworden ist, steht im Vektor: ",[156,586,587],{},"AC:H",[156,589,590],{},"AT:P"," weisen hohe Angriffskomplexität und zusätzliche Voraussetzungen aus. Der Exploit gelingt nicht bei jedem Versuch – Angreifer dürfen aber beliebig oft probieren.",[11,593,594],{},"Betroffen ist laut den Advisories jede Installation, die Web-Requests verarbeitet, unabhängig von der Anwendung darüber: PHP-FPM, Apache mit mod_php, php-cgi, LiteSpeed und FrankenPHP. Das höchste Risiko trägt mod_php. Nach Angaben von W3Techs nutzen 69 Prozent aller Websites mit bekannter Serversprache PHP, etwa unter WordPress, TYPO3, Magento oder Shopware. Gemeldet wurden die Lücken laut den Danksagungen in den Advisories vom Forscher lcfr-hax sowie von Forschern bei Wiz, Areion und OpenAI; den Fix entwickelten vier Mitglieder des PHP-Teams.",[15,596,598],{"id":597},"lücke-1-wenn-php-der-speicher-ausgeht","Lücke 1: Wenn PHP der Speicher ausgeht",[11,600,601,603,604,607],{},[156,602,489],{}," nutzt die Art, wie PHP einen Request bei Speichererschöpfung verlässt. PHP springt dafür über ",[156,605,606],{},"longjmp()"," heraus. In bestimmten Momenten ist der Speicher eines Requests schon erreichbar, aber noch nicht vollständig initialisiert. Schlägt eine Speicheranforderung genau dann fehl, berücksichtigt PHP diesen frühen Ausstieg nicht, und der Speicher bleibt in einem ungültigen Zustand liegen. Beim Aufräumen des Requests liest PHP diesen Zustand dann aus und verzweigt darüber.",[11,609,610,611,613,614,617],{},"Die Speichererschöpfung löst der Angreifer selbst aus, und zwar beim Zerlegen von ",[156,612,158],{},": über unbegrenzt viele Header, leere Datei-Felder oder verschachtelte Feldnamen. Es braucht dafür kein Formular in der Anwendung und keinen Login. Der Patch ersetzt den harten Sprung: PHP beendet den Request bei Speichermangel verzögert am nächsten sicheren Punkt der virtuellen Maschine und bricht erst oberhalb einer höheren Schwelle per ",[156,615,616],{},"_exit()"," ab.",[15,619,621],{"id":620},"lücke-2-wenn-reste-aus-dem-vorgänger-request-liegen-bleiben","Lücke 2: Wenn Reste aus dem Vorgänger-Request liegen bleiben",[11,623,624,626,627,630],{},[156,625,578],{}," betrifft Zustand, der länger lebt als der Request, zu dem er gehört. Ein PHP-Worker bearbeitet viele Requests nacheinander und hält dabei globalen Zustand für Fehlerbehandlung, Sessions, Objekte und Erweiterungen. Dieser Zustand zeigt teils auf Speicher, der dem Request gehört, und muss zurückgesetzt werden, bevor der Request seinen Speicher freigibt. Einige Operationen laufen aber ",[556,628,629],{},"vor"," der regulären Initialisierung des nächsten Requests und lesen die alten Verweise – eine Use-after-free.",[11,632,633],{},"Das Advisory trennt dabei Auslöser und Verbraucher, und diese Trennung ist der Grund, warum eine einzelne Einstellung nicht genügt:",[145,635,636,646,652,662],{},[148,637,638,641,642,645],{},[151,639,640],{},"Auslöser:"," schwere Fehler wie Parse- und Compile-Fehler, nicht abgefangene Errors, ein fehlgeschlagenes ",[156,643,644],{},"require"," oder das Überschreiten der maximalen Laufzeit; außerdem Speichererschöpfung und Diagnosemeldungen beim Herunterfahren oder beim Aufräumen von Erweiterungen.",[148,647,648,651],{},[151,649,650],{},"Verbraucher:"," INI-Diagnosen, die vor der Request-Initialisierung ausgegeben werden, und die Verarbeitung von Session Upload Progress, die standardmäßig aktiv ist.",[148,653,654,657,658,661],{},[151,655,656],{},"Als RCE bestätigt:"," der Weg über ",[156,659,660],{},"fatal_error_backtraces"," in PHP 8.5 sowie der Session-Upload-Progress-Pfad, dort ausgelöst über Speichererschöpfung.",[148,663,664,667,668,379,671,674,675,674,678,681,682,379,685,688],{},[151,665,666],{},"Erreichbar über:"," ",[156,669,670],{},".htaccess",[156,672,673],{},"php_value","\u002F",[156,676,677],{},"php_flag",[156,679,680],{},"php_admin_*"," unter Apache mod_php; unter PHP-FPM bedingt über ",[156,683,684],{},"PHP_VALUE",[156,686,687],{},"PHP_ADMIN_VALUE"," vom Frontend; LSAPI gilt als Kandidat. Für FrankenPHP fand PHP in der Standardkonfiguration keinen frühen Verbraucher.",[11,690,691,692,173,695,698,699,702],{},"Was nicht hilft: Fehlermeldungen verstecken. ",[156,693,694],{},"error_reporting",[156,696,697],{},"display_errors"," und das ",[156,700,701],{},"@"," vor einem Aufruf unterdrücken die Anzeige, nicht den Fehler – der Auslöser bleibt.",[15,704,706],{"id":705},"was-vom-leak-falsch-war","Was vom Leak falsch war",[11,708,709],{},"Am 20. Oktober kündigte ein anonymer Beitrag im Forum Hacker News zwei PHP-Lücken an, ohne Beleg außer dem Vertrauen des Verfassers in seine Quelle. watchTowr bestätigte am selben Tag, dass die Lücken echt sind; PHP zog das für den 22. Oktober geplante Release um einen Tag vor. Wer die Screenshots von Montag gesehen hat, arbeitet mit mehreren falschen Angaben:",[52,711,712,725],{},[55,713,714],{},[58,715,716,719,722],{},[61,717,718],{},"Thema",[61,720,721],{},"Leak vom 20. Oktober",[61,723,724],{},"PHP-Advisory vom 21. Oktober",[68,726,727,738,749,760],{},[58,728,729,732,735],{},[73,730,731],{},"Schweregrad",[73,733,734],{},"CVSS 10.0",[73,736,737],{},"CVSS 9.2 nach v4.0",[58,739,740,743,746],{},[73,741,742],{},"Ursache",[73,744,745],{},"Session Upload Progress",[73,747,748],{},"zwei Fehler im Core; Upload Progress ist ein Verbraucher von mehreren",[58,750,751,754,757],{},[73,752,753],{},"Abhilfe",[73,755,756],{},"Upload Progress abschalten genügt",[73,758,759],{},"nur das Update schließt beide Lücken",[58,761,762,765,768],{},[73,763,764],{},"Betroffen",[73,766,767],{},"alle Versionen ab PHP 5",[73,769,770],{},"alles vor 8.2.35, 8.3.36, 8.4.27 und 8.5.12",[11,772,773],{},"Für die interne Kommunikation gelten die Advisories, nicht die Mitschnitte vom Montag.",[15,775,777],{"id":776},"welche-versionen-einen-patch-bekommen","Welche Versionen einen Patch bekommen",[11,779,780,781,786],{},"Laut ",[23,782,785],{"href":783,"rel":784},"https:\u002F\u002Fwww.php.net\u002Farchive\u002F2026.php",[27],"PHPs Release-Ankündigung"," liefert PHP Sicherheitsupdates für die vier unterstützten Branches. Für die End-of-Life-Branches 7.4, 8.0 und 8.1 hat das Sicherheitsteam zusätzlich minimale Quellcode-Backports bereitgestellt, gedacht für selbst gebaute Installationen und für Betreiber ohne LTS-Anbieter.",[52,788,789,801],{},[55,790,791],{},[58,792,793,795,798],{},[61,794,304],{},[61,796,797],{},"Fassung mit Patch",[61,799,800],{},"Updates bis",[68,802,803,816,829,842,855,866],{},[58,804,805,808,813],{},[73,806,807],{},"8.5",[73,809,810],{},[156,811,812],{},"8.5.12",[73,814,815],{},"Ende 2029",[58,817,818,821,826],{},[73,819,820],{},"8.4",[73,822,823],{},[156,824,825],{},"8.4.27",[73,827,828],{},"Ende 2028",[58,830,831,834,839],{},[73,832,833],{},"8.3",[73,835,836],{},[156,837,838],{},"8.3.36",[73,840,841],{},"Ende 2027",[58,843,844,847,852],{},[73,845,846],{},"8.2",[73,848,849],{},[156,850,851],{},"8.2.35",[73,853,854],{},"31. Dezember 2026",[58,856,857,860,863],{},[73,858,859],{},"8.1, 8.0, 7.4",[73,861,862],{},"Quellcode-Backport oder Distro-Paket",[73,864,865],{},"End of Life",[58,867,868,871,874],{},[73,869,870],{},"7.3 und älter",[73,872,873],{},"kein Patch",[73,875,865],{},[11,877,878,879,882,883,886,887,890],{},"Drei Punkte dazu, die in der Praxis Zeit kosten. Erstens portieren Debian, Ubuntu und Red Hat den Fix in ihre Pakete, ohne die Versionsnummer zu erhöhen: ",[156,880,881],{},"php -v"," zeigt weiter die alte Nummer, verbindlich ist das Changelog des Pakets. Zweitens weist PHP ausdrücklich darauf hin, dass das freiwillig gepflegte Repository ",[156,884,885],{},"rpms.remirepo.net"," am Release-Tag kein Update hatte, und rät zum Wechsel auf Distributionspakete; AlmaLinux stellte seine Pakete zunächst in ",[156,888,889],{},"testing"," bereit. Drittens ist 8.2 nur auf Zeit versorgt – wer heute einen 8.2-Server patcht, plant das Upgrade gleich mit ein.",[11,892,893],{},"Wie viele Systeme ohne Herstellerfix laufen, hat das Sicherheitsunternehmen Mallory am 20. Oktober anhand öffentlich sichtbarer HTTP-Banner gezählt: Mehr als 880.000 aus dem Internet erreichbare Hosts meldeten PHP 8.1 oder älter, 59 Prozent der rund 1,5 Millionen Hosts mit Versionsangabe. Rund 740.000 weitere zeigten PHP ohne Version. Im deutschsprachigen Raum liegt der Anteil ohne offiziellen Patch laut Mallory bei 41 Prozent in Deutschland, 53 Prozent in Österreich und 64 Prozent in der Schweiz. Die Zahlen beschreiben Banner, keine bestätigt verwundbaren Systeme.",[15,895,897],{"id":896},"sofortmaßnahmen-wenn-das-update-warten-muss","Sofortmaßnahmen, wenn das Update warten muss",[11,899,900,901,904,905,379,908,911],{},"PHP ist in diesem Punkt eindeutig: Nur das Update ist eine vollständige Abhilfe. Die folgenden Einstellungen aus den Advisories senken das Risiko, machen eine Installation aber nicht sicher. Sie gehören in die ",[156,902,903],{},"php.ini",", den FPM-Pool oder die Server-Konfiguration, also an eine Stelle, die die Anwendung nicht überschreiben kann – ",[156,906,907],{},"ini_set()",[156,909,910],{},".user.ini"," greifen zu spät. Danach alle Worker neu starten, Container neu bauen.",[198,913,917],{"className":914,"code":915,"language":916,"meta":206,"style":206},"language-ini shiki shiki-themes material-theme-lighter github-light github-dark","; gegen CVE-2026-109618 (Speichererschöpfung)\nmemory_limit = -1          ; als php_admin_value, nicht überschreibbar\npost_max_size = 8M         ; 32M, wenn Uploads nötig sind\nupload_max_filesize = 8M   ; muss unter post_max_size bleiben\n\n; gegen CVE-2026-109619 (zurückgebliebener Zustand)\nsession.upload_progress.enabled = 0\nfatal_error_backtraces = 0 ; nur PHP 8.5\n\n; optional, kostet Leistung\npm.max_requests = 1        ; FPM: ein Request pro Worker\n","ini",[156,918,919,927,932,937,943,948,954,960,966,971,977],{"__ignoreMap":206},[920,921,924],"span",{"class":922,"line":923},"line",1,[920,925,926],{},"; gegen CVE-2026-109618 (Speichererschöpfung)\n",[920,928,929],{"class":922,"line":239},[920,930,931],{},"memory_limit = -1          ; als php_admin_value, nicht überschreibbar\n",[920,933,934],{"class":922,"line":236},[920,935,936],{},"post_max_size = 8M         ; 32M, wenn Uploads nötig sind\n",[920,938,940],{"class":922,"line":939},4,[920,941,942],{},"upload_max_filesize = 8M   ; muss unter post_max_size bleiben\n",[920,944,945],{"class":922,"line":266},[920,946,947],{"emptyLinePlaceholder":264},"\n",[920,949,951],{"class":922,"line":950},6,[920,952,953],{},"; gegen CVE-2026-109619 (zurückgebliebener Zustand)\n",[920,955,957],{"class":922,"line":956},7,[920,958,959],{},"session.upload_progress.enabled = 0\n",[920,961,963],{"class":922,"line":962},8,[920,964,965],{},"fatal_error_backtraces = 0 ; nur PHP 8.5\n",[920,967,969],{"class":922,"line":968},9,[920,970,947],{"emptyLinePlaceholder":264},[920,972,974],{"class":922,"line":973},10,[920,975,976],{},"; optional, kostet Leistung\n",[920,978,980],{"class":922,"line":979},11,[920,981,982],{},"pm.max_requests = 1        ; FPM: ein Request pro Worker\n",[11,984,985],{},"Dazu drei Hinweise, die man leicht falsch macht:",[145,987,988,997,1010],{},[148,989,990,996],{},[151,991,992,995],{},[156,993,994],{},"memory_limit = -1"," ist kein Tippfehler."," Das Speicherlimit ist hier der Auslöser, den der Angreifer erreichen will. Begrenzen Sie den Speicher stattdessen über Container oder cgroups, und prüfen Sie, dass kein Pool, Verzeichnis oder Anwendungscode ein endliches Limit setzt.",[148,998,999,1009],{},[151,1000,1001,1002,1005,1006,37],{},"Kein ",[156,1003,1004],{},"RLIMIT_AS"," und kein ",[156,1007,1008],{},"RLIMIT_DATA"," Davon rät PHP ausdrücklich ab: Solche Limits machen den Angriff leichter, nicht schwerer.",[148,1011,1012,1015,1016,1018],{},[151,1013,1014],{},"Fehler auf erreichbaren Pfaden abstellen."," Dazu zählen Zeitüberschreitungen, die ein Angreifer vorhersehbar auslösen kann, sowie Warnungen aus veralteten INI-Direktiven, die vor der Request-Initialisierung anfallen. Große ",[156,1017,158],{},"-Anfragen lassen sich zusätzlich am Webserver oder in der Web Application Firewall begrenzen.",[11,1020,1021],{},"End-of-Life-Systeme, die sich nicht sofort aktualisieren lassen, gehören hinter VPN oder vom öffentlichen Netz getrennt – so hatte es CERT-EU schon vor dem Release empfohlen.",[15,1023,1025],{"id":1024},"angriffe-was-bis-zum-21-oktober-beobachtet-wurde","Angriffe: was bis zum 21. Oktober beobachtet wurde",[11,1027,1028,1029,1031],{},"Mehrere Anbieter melden Angriffsversuche, bestätigte Übernahmen bislang nicht. watchTowr sah die ersten Versuche an seinen Sensoren etwa zum Zeitpunkt des Releases; Jake Knott, dort für Threat Intelligence zuständig, sagte gegenüber SecurityWeek: „Whilst nobody has been successful to date, we don't expect that will last long.“ Hadrian berichtete wenige Stunden vor dem Release von Ausnutzung „at scale“ und nennt den Session-Upload-Progress-Pfad als überwiegend genutzten Weg. Patchstack, Cloudflare und Vega beobachteten ebenfalls Versuche, Vega mit öffentlich verfügbarem Proof-of-Concept-Code. Im ",[23,1030,135],{"href":134}," stehen beide Lücken mit Stand 21. Oktober nicht.",[11,1033,1034,1035,1038,1039,1044],{},"Dass es schnell geht, war zu erwarten. Mit dem Update wird der korrigierte Quellcode öffentlich, und der Vergleich mit der Vorversion zeigt, wo die Lücke saß. Als ",[156,1036,1037],{},"CVE-2024-4577",", eine PHP-Lücke im CGI-Modus unter Windows, im Juni 2024 bekannt wurde, sah ",[23,1040,1043],{"href":1041,"rel":1042},"https:\u002F\u002Fwww.akamai.com\u002Fblog\u002Fsecurity-research\u002F2024-php-exploit-cve-one-day-after-disclosure",[27],"Akamai"," binnen 24 Stunden Angriffsversuche auf seinen Honeypots. Hier lag der Leak sogar vor dem Patch.",[11,1046,1047,1050,1051,37],{},[151,1048,1049],{},"Nachtrag vom 22. Oktober:"," Amazon Threat Intelligence hat inzwischen einen Angriffsversuch vom 17. Oktober gemeldet, vier Tage vor der Offenlegung. Was daraus für Logs, Spurensuche und Patch-Fristen folgt, steht im ",[23,1052,1053],{"href":265},"Folgebeitrag",[11,1055,1056,1057,173,1059,173,1061,180,1063,1065,1066,173,1069,180,1072,1075],{},"Erkennen lässt sich ein erfolgreicher Angriff am Ende daran, dass ein Prozess startet: Alarm, wenn ",[156,1058,172],{},[156,1060,176],{},[156,1062,179],{},[156,1064,183],{}," eine Shell, einen Interpreter oder Werkzeuge wie ",[156,1067,1068],{},"curl",[156,1070,1071],{},"wget",[156,1073,1074],{},"certutil.exe"," aufruft. Auffällig häufige HTTP-500-Antworten und abgestürzte PHP-Worker sind ein zweites Signal – die Exploits gelingen nicht immer, viele Abstürze bedeuten viele Versuche. Hat ein Webserver eine Shell gestartet, gilt das System als kompromittiert: zuerst vom Netz nehmen, nicht ausschalten, dann Logs, Prozessliste und Verbindungen sichern, nach Webshells, neuen Dateien im Webroot, Cronjobs und Konten suchen, neu aufsetzen und alle Zugangsdaten aus Konfigurationsdateien rotieren. Sie gelten als bekannt.",[15,1077,213],{"id":212},[11,1079,1080],{},"Am Tag des Updates ist selten das Aktualisieren das Problem, sondern die Frage, wo überall PHP läuft. Neben den bekannten Webservern sind das Hosting-Panels wie Plesk und cPanel, die mehrere PHP-Versionen parallel mitbringen, Docker-Images, Appliances mit Web-Oberfläche von der Telefonanlage bis zur Zeiterfassung, Windows-Software mit eingebautem PHP und Intranet-Werkzeuge, die seit Jahren niemand angefasst hat. Wer den Webserver nicht selbst betreibt, fragt beim Hoster nach dem Patch-Termin.",[11,1082,219,1083,1085,1086,229,1088,1090,1091,379,1093,1095],{},[23,1084,223],{"href":222}," laufend von außen, welche Domains, Dienste und Webanwendungen erreichbar sind und welche Technologien darauf laufen; interne Systeme deckt der ",[23,1087,228],{"href":227},[23,1089,233],{"href":232}," gleicht neue CVEs wie ",[156,1092,489],{},[156,1094,578],{}," in Echtzeit mit diesem Inventar ab und zeigt, ob ein Treffer auf der exakten Version beruht oder nur auf dem Produkt, etwa weil ein Server seine Version verbirgt. Ohne Prüfvorlage für einen Verifikationsscan markiert es den Treffer zur manuellen Prüfung. Was ein PHP-Prozess auf dem Server startet, sieht blacklens.io nicht; das bleibt Aufgabe der Überwachung auf dem Host.",[1097,1098,1099],"style",{},"html .light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html.light .shiki span {color: var(--shiki-light);background: var(--shiki-light-bg);font-style: var(--shiki-light-font-style);font-weight: var(--shiki-light-font-weight);text-decoration: var(--shiki-light-text-decoration);}html .default .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .shiki span {color: var(--shiki-default);background: var(--shiki-default-bg);font-style: var(--shiki-default-font-style);font-weight: var(--shiki-default-font-weight);text-decoration: var(--shiki-default-text-decoration);}html .dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}html.dark .shiki span {color: var(--shiki-dark);background: var(--shiki-dark-bg);font-style: var(--shiki-dark-font-style);font-weight: var(--shiki-dark-font-weight);text-decoration: var(--shiki-dark-text-decoration);}",{"title":206,"searchDepth":236,"depth":236,"links":1101},[1102,1103,1104,1105,1106,1107,1108,1109],{"id":561,"depth":239,"text":562},{"id":597,"depth":239,"text":598},{"id":620,"depth":239,"text":621},{"id":705,"depth":239,"text":706},{"id":776,"depth":239,"text":777},{"id":896,"depth":239,"text":897},{"id":1024,"depth":239,"text":1025},{"id":212,"depth":239,"text":213},"2026-10-21","PHP hat am 21. Oktober 2026 Patches für zwei kritische RCE-Lücken veröffentlicht. Die Ursache liegt im PHP-Core, nicht in Session Upload Progress.",[1113,1115,1118,1121],{"q":562,"a":1114},"PHP2Shell ist der inoffizielle Name für zwei kritische Schwachstellen im PHP-Core, CVE-2026-109618 und CVE-2026-109619, die beide unauthentifizierte Remote Code Execution erlauben. PHP bewertet sie mit CVSS 9.2 nach Version 4.0 und hat am 21. Oktober 2026 Patches veröffentlicht. Die eine Lücke entsteht, wenn PHP der Speicher ausgeht, die andere, wenn Zustand aus einem Request im Worker zurückbleibt und ein späterer Request ihn weiterverwendet.",{"q":1116,"a":1117},"Welche PHP-Versionen bekommen einen Patch gegen PHP2Shell?","Korrigiert sind PHP 8.2.35, 8.3.36, 8.4.27 und 8.5.12; betroffen ist laut den GitHub-Advisories jede Fassung davor. Für die End-of-Life-Branches 7.4, 8.0 und 8.1 hat das PHP-Sicherheitsteam minimale Quellcode-Backports veröffentlicht, PHP 7.3 und älter bekommt keinen Fix. Debian, Ubuntu und Red Hat liefern den Patch im Paket aus, ohne die Versionsnummer zu erhöhen: Hier zählt das Changelog, nicht die Ausgabe von php -v.",{"q":1119,"a":1120},"Reicht es, Session Upload Progress abzuschalten?","Nein. Nach dem Leak kursierte diese Einstellung als Lösung, PHPs Advisory widerspricht: Session Upload Progress ist nur einer von mehreren Wegen in CVE-2026-109619, und für CVE-2026-109618 spielt es keine Rolle. PHP nennt das Update ausdrücklich als einzige vollständige Abhilfe. Die empfohlenen Einstellungen senken das Risiko, machen eine Installation aber nicht sicher.",{"q":1122,"a":1123},"Wie finde ich alle PHP-Systeme im Unternehmen?","Am Tag eines Updates ist selten das Patchen das Problem, sondern die Frage, wo überall PHP läuft, oft unbemerkt in Appliances, Hosting-Panels und alten Intranet-Werkzeugen. blacklens.io erfasst über Attack Surface Management laufend von außen, welche Domains, Dienste und Webanwendungen erreichbar sind und welche Technologien darauf laufen; interne Systeme deckt der Sentry Agent ab. Das Threat Center gleicht neue CVEs mit diesem Inventar ab.","\u002Fimages\u002Finsights\u002Fphp2shell-kritische-rce-lucken-in-php.webp","Abstrakte Darstellung überlagerter Quellcodezeilen in Blau und Rot auf dunklem Hintergrund",{},{"title":547,"description":1111},{"loc":35},"de\u002Finsights\u002Fphp2shell-kritische-rce-lucken-in-php",[271],"php2shell-kritische-rce-lucken-in-php","dCE62Hrts6N0uRO-139f09eBUQRMltWz8qTc_--qgKo",{"id":1134,"title":1135,"author":6,"body":1136,"category":1312,"date":1313,"description":1314,"draft":247,"extension":248,"faq":1315,"image":1325,"imageAlt":1326,"lang":261,"legacyUrl":262,"meta":1327,"navigation":264,"path":1328,"readingTime":939,"seo":1329,"sitemap":1330,"stem":1331,"tags":1332,"translation":1334,"updated":262,"__hash__":1335},"insightsDe\u002Fde\u002Finsights\u002Frea-reverse-engineer-anything-ki-agenten.md","REA: Was KI-Reverse-Engineering in Ihren Anwendungen findet",{"type":8,"value":1137,"toc":1306},[1138,1141,1145,1154,1167,1171,1174,1189,1192,1223,1227,1240,1243,1246,1250,1253,1285,1288,1303],[11,1139,1140],{},"Reverse Engineering war bisher Arbeit für Spezialisten: Disassembler bedienen, Pseudocode lesen, Hypothesen prüfen, oft über Tage. Das Open-Source-Projekt REA (Reverse Engineer Anything) übergibt diese Arbeit an KI-Agenten und wurde im Oktober 2026 zu einem der am schnellsten wachsenden Repositories auf GitHub. Was in einer ausgelieferten App, einem Desktop-Client oder einer Firmware steckt, war nie geheim, nur teuer zu lesen. Diese Hürde sinkt jetzt.",[15,1142,1144],{"id":1143},"was-ist-rea","Was ist REA?",[11,1146,1147,1148,1153],{},"REA (Reverse Engineer Anything) ist ein quelloffener MCP-Server, über den KI-Coding-Agenten wie Claude Code, Codex, Cursor oder Gemini CLI Software ohne Zugriff auf den Quellcode analysieren. Das Model Context Protocol (MCP) ist die Schnittstelle, über die ein Agent externe Werkzeuge aufruft. REA steuert darüber etablierte Werkzeuge wie Ghidra oder IDA und eigene Parser; laut ",[23,1149,1152],{"href":1150,"rel":1151},"https:\u002F\u002Fgithub.com\u002Fmorluto\u002Frea",[27],"Projektdokumentation"," deckt es native Binärdateien, JavaScript- und Electron-Apps, .NET-Assemblies, Android-Apps, Firmware-Images, Websites und Netzwerkmitschnitte ab. Der Agent entscheidet, was er untersucht, REA führt aus und liefert die Belege zurück.",[11,1155,1156,1157,1160,1161,1166],{},"Das Projekt steht unter MIT-Lizenz und wird als npm-Paket ",[156,1158,1159],{},"rea-agents"," verteilt. Laut dem Tracking-Dienst OSSInsight, zitiert von Startup Fortune, stieg die Zahl der GitHub-Sterne zwischen dem 6. und 14. Oktober 2026 von unter 10.000 auf rund 234.000. Die ",[23,1162,1165],{"href":1163,"rel":1164},"https:\u002F\u002Fgithub.com\u002Fmorluto\u002Frea\u002Fblob\u002Fmain\u002FDISCLAIMER.md",[27],"Nutzungsrichtlinie"," nennt Sicherheitsforschung, Malware-Analyse und Interoperabilität als Zweck und schließt unautorisierten Zugriff ausdrücklich aus. Das Werkzeug selbst ist frei verfügbar, für Verteidiger wie für Angreifer.",[15,1168,1170],{"id":1169},"was-angreifer-aus-ihren-anwendungen-lesen","Was Angreifer aus Ihren Anwendungen lesen",[11,1172,1173],{},"Reverse Engineering legt offen, was ein Hersteller im ausgelieferten Code für verborgen hält. Für Electron- und JavaScript-Apps listet REA Module, Routen und Source Maps, für Android-Apps Manifest und dekompilierte Methoden, für Websites und Netzwerkmitschnitte die übertragenen Daten.",[11,1175,1176,1177,1182,1183,1188],{},"Am folgenreichsten sind eingebettete Geheimnisse. ",[23,1178,1181],{"href":1179,"rel":1180},"https:\u002F\u002Fwww.security.com\u002Fthreat-intelligence\u002Fmobile-supply-chain-aws",[27],"Symantec"," fand 2022 in 1.859 Android- und iOS-Apps fest eingebaute AWS-Zugangsdaten; mehr als drei Viertel dieser Apps enthielten gültige Token für private Cloud-Dienste. Oft stammten sie aus gemeinsam genutzten Bibliotheken und SDKs, nicht aus dem eigenen Code der Hersteller. Eine ",[23,1184,1187],{"href":1185,"rel":1186},"https:\u002F\u002Farxiv.org\u002Fabs\u002F2606.12212",[27],"Studie vom Juni 2026"," fand in 282 von 444 untersuchten iOS-Apps ausnutzbare Zugangsdaten zu KI-Diensten im Netzwerkverkehr; drei Monate nach der Meldung waren 72 % davon weiterhin angreifbar.",[11,1190,1191],{},"Vier weitere Funde werden mit KI-Unterstützung ohne Spezialwissen erreichbar:",[145,1193,1194,1205,1211,1217],{},[148,1195,1196,1199,1200,1204],{},[151,1197,1198],{},"Versteckte Schnittstellen und Hosts:"," Jeder API-Endpunkt, den eine App aufruft, ist öffentlich, ob dokumentiert oder nicht. Code verweist oft auch auf Test-, Staging- oder Admin-Systeme und vergrößert so die ",[23,1201,1203],{"href":1202},"\u002Fde\u002Fwissen\u002Fexternal-attack-surface-management","externe Angriffsfläche"," um Systeme, die nie für die Öffentlichkeit gedacht waren.",[148,1206,1207,1210],{},[151,1208,1209],{},"Sicherheitslogik im Client:"," Rollenprüfungen, Feature-Flags und Eingabeprüfungen, die nur in der App laufen, lassen sich lesen und umgehen. Der Angreifer spricht direkt mit dem Backend.",[148,1212,1213,1216],{},[151,1214,1215],{},"Veraltete Komponenten:"," Binärdateien verraten eingebettete Bibliotheken samt Version; REA liest etwa die Modulversionen aus Go-Programmen aus. Der Abgleich mit bekannten CVEs ist danach Routine.",[148,1218,1219,1222],{},[151,1220,1221],{},"Geistiges Eigentum:"," REA wirbt selbst damit, eine Funktion aus einer fremden App untersuchen und für das eigene Projekt nachbauen zu lassen. Was als Vorsprung im Code steckt, ist damit schneller kopiert.",[15,1224,1226],{"id":1225},"auch-software-die-sie-nur-betreiben-wird-lesbar","Auch Software, die Sie nur betreiben, wird lesbar",[11,1228,1229,1230,1235,1236,1239],{},"Dieselbe Analyse trifft die Produkte, die Sie einkaufen und am Perimeter betreiben. Wer eine geschlossene Lücke ausnutzen will, muss verstehen, was das Update verändert hat, und diese Analyse ist Reverse Engineering. ",[23,1231,1234],{"href":1232,"rel":1233},"https:\u002F\u002Fcloud.google.com\u002Fblog\u002Ftopics\u002Fthreat-intelligence\u002Ftime-to-exploit-trends-2023",[27],"Mandiant"," maß für 2023 im Schnitt nur fünf Tage zwischen Offenlegung einer Schwachstelle und erster beobachteter Ausnutzung (bereinigt um Ausreißer; 2018\u002F19: 63 Tage). Jedes Werkzeug, das die Analyse verbilligt, drückt dieses Fenster weiter, ähnlich wie es ",[23,1237,1238],{"href":409},"KI-gestützte Schwachstellensuche"," auf der Seite der Zero Days tut.",[11,1241,1242],{},"Besonders exponiert sind VPN-Gateways, Firewalls und IoT-Geräte. Sie laufen mit geschlossener Firmware, und REA zerlegt Firmware-Images und native Binärdateien. Ein fest eingebautes Passwort oder eine veraltete Komponente in der Firmware betrifft jedes Gerät dieser Serie, das aus dem Internet erreichbar ist.",[11,1244,1245],{},"Die Projektdokumentation weist selbst darauf hin, dass Dekompilierung und KI-gestützte Analyse unvollständig oder falsch sein können. Für Angreifer ist das ein geringer Preis: Ihnen genügt ein Treffer.",[15,1247,1249],{"id":1248},"was-hilft-und-wo-blacklensio-ansetzt","Was hilft – und wo blacklens.io ansetzt",[11,1251,1252],{},"Fünf Maßnahmen wirken unabhängig von jedem Produkt:",[145,1254,1255,1261,1267,1273,1279],{},[148,1256,1257,1260],{},[151,1258,1259],{},"Keine Geheimnisse im Client:"," Schlüssel gehören auf den Server. Wo die App Zugriff braucht, kurzlebige Token mit minimalen Rechten; Schlüssel, die je ausgeliefert wurden, rotieren.",[148,1262,1263,1266],{},[151,1264,1265],{},"Dem Client nichts glauben:"," Autorisierung und Validierung laufen immer serverseitig.",[148,1268,1269,1272],{},[151,1270,1271],{},"Schnittstellen inventarisieren:"," Jeder Endpunkt, den eine App aufruft, gilt als öffentlich. Debug- und Staging-Systeme sind aus dem Internet nicht erreichbar.",[148,1274,1275,1278],{},[151,1276,1277],{},"Abhängigkeiten kennen:"," eine Stückliste (SBOM) aller ausgelieferten Bibliotheken einschließlich der SDKs von Drittanbietern, mit zügigen Updates.",[148,1280,1281,1284],{},[151,1282,1283],{},"Exponierte Systeme schneller patchen:"," Das Fenster zwischen Update und Exploit schrumpft.",[11,1286,1287],{},"Verschleierung des Codes erhöht den Aufwand, ersetzt aber keine dieser Maßnahmen.",[11,1289,1290,1291,1293,1294,1297,1298,1302],{},"blacklens.io zeigt, welche Funde einer solchen Analyse von außen tatsächlich angreifbar sind. ",[23,1292,223],{"href":222}," erkennt kontinuierlich Domains, Subdomains, IP-Adressen, Dienste und Web-Anwendungen, die aus dem Internet erreichbar sind. Ein Staging-Host, auf den Ihr App-Code verweist, erscheint dort als Asset, sobald er unter Ihren Domains erreichbar ist, und nicht erst, wenn ihn ein Angreifer findet. Das ",[23,1295,1296],{"href":232},"Frühwarnsystem"," im Threat Center gleicht neue CVEs in Echtzeit mit den per Fingerprinting erkannten Technologien und Versionen ab und prüft Treffer per Verifikationsscan, wo eine Prüfvorlage existiert. Mit ",[23,1299,1301],{"href":1300},"\u002Fde\u002Fplatform\u002Fpenetration-testing","Penetration Testing as a Service"," prüfen OSCP-zertifizierte Pentester Ihre Web-Anwendungen, APIs und Infrastruktur; die Findings erscheinen als verifiziert in derselben Plattform, Retests sind im Preis der Pentest-Lizenz enthalten.",[11,1304,1305],{},"Reverse Engineering wird zur Standardfähigkeit. Planen Sie so, als sei Ihre Software lesbar, denn für deutlich mehr Menschen ist sie es jetzt.",{"title":206,"searchDepth":236,"depth":236,"links":1307},[1308,1309,1310,1311],{"id":1143,"depth":239,"text":1144},{"id":1169,"depth":239,"text":1170},{"id":1225,"depth":239,"text":1226},{"id":1248,"depth":239,"text":1249},"analysis","2026-10-20","Mit REA zerlegen KI-Agenten Apps, Binärdateien und Firmware ohne Quellcode. Welche Schlüssel, Schnittstellen und Lücken das offenlegt und was hilft.",[1316,1319,1322],{"q":1317,"a":1318},"Was ist REA (Reverse Engineer Anything)?","REA (Reverse Engineer Anything) ist ein quelloffener MCP-Server unter MIT-Lizenz, über den KI-Coding-Agenten wie Claude Code, Codex oder Cursor Software ohne Zugriff auf den Quellcode analysieren. REA steuert dafür Werkzeuge wie Ghidra oder IDA sowie eigene Parser und deckt native Binärdateien, Electron- und JavaScript-Apps, .NET-Assemblies, Android-Apps, Firmware und Websites ab. Das Projekt wird als npm-Paket rea-agents verteilt und gehörte im Oktober 2026 zu den am schnellsten wachsenden Repositories auf GitHub.",{"q":1320,"a":1321},"Welche Gefahren entstehen durch Reverse Engineering von Anwendungen?","Reverse Engineering macht lesbar, was in ausgelieferter Software steckt. Angreifer finden eingebettete API-Schlüssel und Zugangstoken, undokumentierte Schnittstellen sowie Test- und Staging-Hosts, umgehen Prüfungen, die nur im Client laufen, und erkennen veraltete Bibliotheken mit bekannten Schwachstellen. Bei Software, die Unternehmen nur betreiben, etwa der Firmware von VPN-Gateways, zeigt die Analyse eines Updates, welche Lücke der Hersteller geschlossen hat. Werkzeuge wie REA senken die Kosten all dieser Analysen deutlich.",{"q":1323,"a":1324},"Wie hilft blacklens.io gegen die Risiken von Reverse Engineering?","blacklens.io zeigt, welche Funde einer solchen Analyse von außen tatsächlich angreifbar sind. Attack Surface Management erkennt kontinuierlich Domains, Subdomains, Dienste und Web-Anwendungen, die aus dem Internet erreichbar sind, auch vergessene Staging-Systeme. Das Threat Center gleicht neue CVEs in Echtzeit mit den erkannten Technologien und Versionen ab und prüft Treffer per Verifikationsscan, wo eine Prüfvorlage existiert. Mit Penetration Testing as a Service prüfen OSCP-zertifizierte Pentester Web-Anwendungen, APIs und Infrastruktur, Retests inklusive.","\u002Fimages\u002Finsights\u002Frea-reverse-engineer-anything-ki-agenten.webp","Schematische Linse über einem Raster aus Binärdaten, die dahinter als geordnete, eingerückte Codezeilen erscheinen",{},"\u002Fde\u002Finsights\u002Frea-reverse-engineer-anything-ki-agenten",{"title":1135,"description":1314},{"loc":1328},"de\u002Finsights\u002Frea-reverse-engineer-anything-ki-agenten",[1333],"Analyse","rea-reverse-engineer-anything-ki-agenten","0p-FiuUMjY1WVgV2cnHopeZfPjnfbU0SLoUP8nNOgvY",1792681470843]