Qualys gab bekannt, dass es seine Lösungen kostenlos als Service für die Community zur Verfügung stellt, um Unternehmen dabei zu helfen, ihre Anfälligkeit für PHP2Shell – zwei kritische Schwachstellen in PHP, die unter den Kennungen CVE-2026-109618 und CVE-2026-109619 erfasst sind – zu erkennen, zu validieren und zu mindern. Der Service ist ab dem Zeitpunkt der Aktivierung 15 Tage lang für bis zu 1.000 Assets kostenlos.
Die Schwachstellen werden jeweils mit einem CVSS-v4.0-Wert von 9,2 bewertet, und es wurde bereits Angriffsverkehr gemeldet. Beide Schwachstellen ermöglichen die nicht authentifizierte Remote-Codeausführung, und durch undichten PHP-Worker-Speicher können Passwörter, Tokens und API-Schlüssel offengelegt werden. Obwohl PHP für beide Schwachstellen Korrekturen veröffentlicht hat, stellte die Qualys Threat Research Unit (TRU) fest, dass fast alle PHP-Installationen entweder anfällig sind oder nicht mehr unterstützte Versionen ausführen. Mehr als sieben von zehn Installationen laufen unter Versionen, deren Lebenszyklus abgelaufen ist oder für die der Support eingestellt wurde, sodass für diese keine Patches mehr verfügbar sein werden.
Anhand anonymisierter Daten von mehr als 10.000 Kunden weltweit stellte das Qualys-TRU-Team 167 Millionen PHP-Paketinstallationen fest, von denen sich 73 % auf mit dem Internet verbundene Systeme befinden, wodurch Millionen von Websites und Systemen für Angreifer aus der Ferne angreifbar sind.
Von den 156 Millionen PHP-Paketinstallationen mit bekannter Version:
- laufen nur 28 % der anfälligen Installationen (44 Millionen) auf unterstützten Versionszweigen, nämlich PHP 8.2 bis 8.5. Für diese Versionen ist ein Fix verfügbar.
- 110 Millionen (71 %) laufen unter PHP-Versionen, deren Lebenszyklus (End-of-Life, EOL) oder Support (End-of-Support, EOS) abgelaufen ist, nämlich den Versionen 5.4 bis 8.1. Für die meisten davon wird es niemals einen Hersteller-Patch geben. Da ein Upgrade oder das Patchen von PHP geschäftliche Auswirkungen haben könnte, wird als Lösung eine Risikominderung empfohlen, um das Risiko schnell zu verringern.
- Nur 581.000 (0,37 %) wurden in den ersten 24 Stunden nach Bekanntgabe gepatcht.
Die kostenlose Testversion umfasst Produkte der gesamten Qualys-Trurisk-Plattform, darunter Qualys-VMDR, Enterprise-Trurisk-Management (ETM) und Trurisk-Eliminate, sodass Sicherheitsteams in einem einzigen Arbeitsablauf von der Erkennung bis zur verifizierten Behebung gelangen können.
Mit den Lösungen von Qualys können Unternehmen:
- Erkennen – Jede anfällige PHP-Instanz innerhalb von 60 Minuten aufspüren, einschließlich PHP, das in Containern oder gebündelt in anderen Anwendungen ausgeführt wird.
- Priorisieren und validieren – Priorisieren Sie Server mit Internetanbindung und veraltete PHP-Versionen und überprüfen Sie, welche Server Angreifer angesichts der bestehenden Sicherheitsmaßnahmen eines Unternehmens tatsächlich ausnutzen können.
- Unterstützte PHP-Versionen aktualisieren – Aktualisieren Sie die unterstützten PHP-Versionen und starten Sie anschließend die PHP-Dienste neu, damit die Korrektur wirksam wird.
- Maßnahmen bei nicht unterstützten oder EOS-/EOL-Versionen – Wenden Sie bei PHP 8.1 und früheren Versionen Backports des Betriebssystemanbieters an, sofern vorhanden, oder isolieren Sie diese Systeme und planen Sie deren Außerbetriebnahme.
- Überprüfen – Führen Sie einen erneuten Scan durch, um sicherzustellen, dass alle Sicherheitslücken geschlossen wurden.
„PHP2Shell gefährdet einen großen Teil des Internets, und über 70 % der Installationen werden keinen Patch haben“, sagte Shailesh Athalye, Chief Product Solutions Officer bei Qualys. „Da Angreifer bereits aktiv sind, müssen Sicherheitsteams sofort wissen, ob sie gefährdet sind und wie sie das Problem umgehend beheben können. Qualys stellt seine Dienste zur Verfügung, damit Unternehmen diese Sicherheitslücken finden, priorisieren und schließen können, bevor sie ausgenutzt werden.“
Info: Weitere Details finden sich unter qualys.com/php2shell-risk-assessment.
#Qualys
