Neue Erkenntnisse aus der Bedrohungsanalyse von Amazon Web Services zeigen, dass PHP2Shell vor der öffentlichen Veröffentlichung der Fixes für zwei kritische PHP-Schwachstellen am 21. Oktober 2026 angegriffen wurde. AWS fand den frühesten protokollierten Versuch in den Logs eines Honeypots vom 17. Oktober. Die Quell-IP war einem kommerziellen Anonymisierungsnetz zugeordnet, etwa einem Proxy oder VPN.

Der AWS-CISO CJ Moses erklärte, Zeitpunkt und anonymisierte Quelle sprächen für Aktivitäten eines Angreifers. Wie dieser vorab an Exploit-Informationen gelangte, ist jedoch unbekannt. In den Stunden vor der Bekanntgabe am 21. Oktober um 10 Uhr ET registrierte AWS weitere Versuche. Sie kamen über mehrere Anonymisierungsanbieter und schienen unterschiedlichen Zielen zu folgen. Das deutet auf mehrere Akteure hin. Öffentliche Proof-of-Concept-Exploits tauchten am selben Tag auf, teils Stunden vor der Ankündigung.

Ob die beobachteten Versuche auf realen Systemen erfolgreich wären, konnte AWS nicht klären. Nach Angaben des Unternehmens wird PHP2Shell inzwischen breit im Internet ausgenutzt. Administratoren und Sicherheitsteams installierten die Fixes unter hohem Zeitdruck. Einige Regierungen und andere Organisationen nahmen wichtige Websites vorsorglich offline, um Angriffe bis zum Patchen zu verhindern. Die PHP Foundation hatte auf eine Anfrage von WIRED zunächst nicht geantwortet.

Für CJ Moses zeigt der Vorfall, dass die koordinierte Offenlegung von Schwachstellen schneller werden muss. AWS zufolge senkt KI-gestützte Analyse den Aufwand, aus einem Patch-Diff oder einem Advisory einen funktionierenden Exploit zu entwickeln. Dadurch kann die Zeit zwischen Veröffentlichung und Angriff von Tagen auf Stunden oder Minuten schrumpfen. Früher folgten Angriffe häufiger auf einen öffentlichen Proof of Concept und waren von wenigen spezialisierten Akteuren abhängig.