Zusammenfassung:
Cloudflare, ein globales Unternehmen für Cloud-Dienste und Netzwerksicherheit, gab am 21. Oktober 2026 bekannt, dass es Web Application Firewall (WAF)-Schutzregeln gegen zwei schwerwiegende Sicherheitslücken namens „php2shell“ in der Programmiersprache PHP implementiert hat. Die beiden Schwachstellen tragen die Nummern CVE-2026-109618 bzw. CVE-2026-109619 und können zu Denial-of-Service, Remote-Codeausführung und dem Verlust sensibler Daten führen.
Cloudflare gab an, dass das Unternehmen mit der Vorbereitung von Schutzmaßnahmen begann, bevor die Sicherheitslücke offiziell bekannt wurde, und die Bereitstellung etwa neun Stunden vor der Veröffentlichung der Sicherheitslücke abschloss. Ab dem 21. Oktober um 3:02 Uhr UTC erhalten sowohl kostenlose als auch kostenpflichtige Kunden, die Cloudflare WAF aktivieren, standardmäßig Schutz.
Diese Schutzmaßnahmen sind eine der koordinierten Reaktionsmaßnahmen, an denen Cloudflare zusammen mit der PHP Foundation, OpenAI, Wiz und anderen Organisationen teilgenommen hat. Wenn Schwachstelleninformationen schon im Vorfeld durchsickern und Angreifer versuchen, Schwachstellen auszunutzen, passen die zuständigen Sicherheitsteams weiterhin die Schutzregeln an und bemühen sich, zusätzlichen Schutz für Internetdienste bereitzustellen, bevor Website-Betreiber Software-Upgrades abschließen.
Cloudflare sagte, dass das Unternehmen vor der offiziellen Veröffentlichung der Schwachstelle Angriffsdatenverkehr beobachtet habe, der auf Kunden abzielte. Das Sicherheitsteam stellte außerdem fest, dass Angreifer weiterhin Angriffsnutzlasten modifizierten, um eingesetzte Schutzmaßnahmen zu umgehen. Durch die Verfolgung der Anzahl der Regelübereinstimmungen und die Analyse von Änderungen bei Angreifern in Kombination mit der Regellogik kann Cloudflare den Erkennungsmechanismus kontinuierlich anpassen, um mit neuen Angriffsvarianten umzugehen.
PHP ist eine serverseitige Programmiersprache, die im Internet weit verbreitet ist. Cloudflare zitierte Daten von W3Techs und wies darauf hin, dass fast 70 % der Websites weltweit PHP verwenden. Gängige Website-Plattformen wie WordPress und Magento basieren alle auf PHP. Sobald daher in der zugrunde liegenden Betriebsumgebung eine schwerwiegende Sicherheitslücke auftritt, kann diese eine große Anzahl von Websites, Onlinediensten und Unternehmensanwendungen beeinträchtigen.
Diese Sicherheitslücke betrifft die PHP-Laufzeit selbst, nicht ein bestimmtes Website-Programm oder Plug-in. Ein Angreifer kann eine speziell konstruierte HTTP-Anfrage an den Server senden und PHP dazu veranlassen, Speicherprobleme in einem abnormalen Zustand zu behandeln. Nach Angaben von Cloudflare bestehen zwei Schwachstellen darin, dass PHP den zugehörigen Speicher und den internen Zustand nicht sicher verarbeiten kann, wenn nicht genügend Speicher vorhanden ist oder während der Anforderungsverarbeitung schwerwiegende Fehler auftreten.
Die erste Schwachstelle, CVE-2026-109618, betrifft die Ausnahmebehandlung nach Speichererschöpfung. Wenn PHP die Anfrage unterbricht, wenn einige interne Daten nicht initialisiert wurden, können nachfolgende Bereinigungsvorgänge diese Daten, die nicht effektiv initialisiert wurden, fälschlicherweise als normale Daten verwenden, was zu einer Speicherbeschädigung führt.
Die zweite Schwachstelle, CVE-2026-109619, betrifft den internen Status, der nach Beendigung der Anfrage bestehen bleibt. Wenn in einer Anfrage ein schwerwiegender Fehler auftritt, behält der PHP-Prozess möglicherweise weiterhin Verweise auf freigegebenen Speicher bei. Wenn derselbe Prozess anschließend eine weitere Anfrage verarbeitet, greift er möglicherweise auf abgelaufenen Speicher zu, was zum Verlust sensibler Daten führt oder sogar Bedingungen für weitere Angriffe schafft.
Ein Angreifer kann diese Ausnahmen auslösen, indem er spezifische Anfragen erstellt. Größere Anfragen können zu Speicherdruck führen, das Risiko beschränkt sich jedoch nicht nur auf den Verbrauch von Serverressourcen. Angreifer können auch Fehler im Umgang des Programms mit ungültigem Speicher ausnutzen, um den PHP-Prozess zum Absturz zu bringen, vertrauliche Informationen preiszugeben oder vom Angreifer bereitgestellten Code auszuführen.
Angesichts solcher Schwachstellen bieten herkömmliche Webanwendungs-Firewall-Regeln nicht immer eine ausreichend zuverlässige Beurteilungsgrundlage. Cloudflare weist darauf hin, dass es manchmal schwierig ist, böswillige Angriffe genau vom normalen Datenverkehr zu unterscheiden, wenn nur eingehende Anfragen überprüft werden. Wenn Sie die Anfrage und die vom Server zurückgegebene Antwort gleichzeitig analysieren können, haben Sie die Möglichkeit, mehr Kontextinformationen zu erhalten, genauer zu bestimmen, ob der Angriff erfolgreich ist, und die Wahrscheinlichkeit zu verringern, dass normale Anfragen versehentlich abgefangen werden.
Zu diesem Zweck hat Cloudflare eine neue WAF-Funktion namens „Full Transaction Detection“ entwickelt. Dieser Mechanismus kombiniert Anforderungs- und Antwortsignale in derselben HTTP-Transaktion zur Analyse. Wenn die Erkennungsregeln bestätigen, dass eine Transaktion die Angriffsmerkmale erfüllt, kann der Antwortinhalt vom Quellserver abgefangen werden, bevor er an den Anforderer zurückgegeben wird.
Die für php2shell bereitgestellten Schutzregeln sind die ersten verwalteten Erkennungsregeln, die Cloudflare mit dieser neuen Funktion einführt. Das Unternehmen ist davon überzeugt, dass es durch eine umfassende Analyse von Anfragen und Antworten komplexe Angriffe erkennen und gleichzeitig mögliche Fehleinschätzungen reduzieren kann, die dadurch entstehen, dass man sich ausschließlich auf Anfragemerkmale verlässt.
In Bezug auf die spezifische Bereitstellung gab Cloudflare an, dass Benutzer kostenloser Pakete neue Schutzregeln nicht manuell aktivieren müssen. Die relevanten Regeln wurden automatisch im von Cloudflare gehosteten kostenlosen Regelsatz bereitgestellt. Bezahlte Pakete bieten Schutz durch von Cloudflare verwaltete Regelsätze. Benutzer der Professional-, Business- und Enterprise-Editionen sollten bestätigen, dass die relevanten Regelsätze aktiviert sind und sich im Blockierungsmodus befinden, anstatt nur Angriffsereignisse zu protokollieren.
Cloudflare stellt in seinen Managed Response Firewall-Standardregeln auch Standardblockierungsregeln für Angriffssignaturen mit hoher Zuverlässigkeit bereit. Benutzer können die Sicherheitsanalyseschnittstelle aufrufen, um abgefangene Anfragen, übereinstimmende Regeln und zugehörige Pfade anzuzeigen und so zu verstehen, ob ihre Website angegriffen wird. Für Kunden, die eine detailliertere Kontrolle benötigen, kann auch der Umfang der verwalteten Regelsätze angepasst werden.
Cloudflare hat jedoch wiederholt betont, dass der WAF-Schutz nur als Teil der Tiefenverteidigung eingesetzt werden kann und den offiziellen PHP-Patch nicht ersetzen kann. Auch wenn auf einer Website die Cloudflare-Firewall aktiviert ist, sollten Administratoren die tatsächliche PHP-Software, die auf dem Server läuft, so schnell wie möglich aktualisieren. Der Grund dafür ist, dass WAF Risiken hauptsächlich dadurch reduziert, dass bekannter oder erkennbarer Angriffsverkehr identifiziert und blockiert wird, während die Schwachstelle selbst in der ungepatchten PHP-Laufumgebung weiterhin besteht. Sobald ein Angreifer eine neue Angriffsmethode anwendet oder die Anforderung durch bestehende Regeln nicht genau identifiziert wird, ist das System möglicherweise immer noch gefährdet.
Für Organisationen, die das Upgrade nicht sofort abschließen können, empfiehlt Cloudflare, den WAF-Schutz weiterhin zu aktivieren, gleichzeitig unnötige Datei-Upload-Funktionen einzuschränken und angemessene Dateigrößenbeschränkungen für Upload-Schnittstellen festzulegen, die beibehalten werden müssen. Diese Maßnahmen können dazu beitragen, die Gefährdung einiger Angriffspfade zu verringern, sie können das Schwachstellenproblem jedoch nicht vollständig lösen. Wenn der Betreiber bei Websites, die Managed Hosting nutzen, die PHP-Version nicht direkt verwalten kann, sollte er sich schnellstmöglich an den Hosting-Dienstleister wenden, um zu bestätigen, ob dieser offizielle Sicherheitsupdates bereitgestellt hat.
Cloudflare gab an, dass sein Sicherheitsanalyseteam weiterhin Angriffsaktivitäten überwachen und Schutzregeln basierend auf neuen Technologien und Nutzlastvarianten aktualisieren wird, die von Angreifern übernommen wurden. Das Unternehmen empfiehlt Benutzern außerdem, weiterhin den relevanten WAF-Schutz beizubehalten und gleichzeitig PHP-Schwachstellen zu reparieren, um eine mehrschichtige Verteidigung zu bilden.
Dieser Vorfall unterstreicht die Bedeutung von Sicherheitsreaktionsmechanismen im Internet. Bei zugrunde liegenden Softwareschwachstellen, die weitreichende Auswirkungen haben und aus der Ferne ausgenutzt werden können, reicht die einfache Veröffentlichung eines Patches nicht aus, um sicherzustellen, dass alle Websites sofort wieder sicher sind, da die Aktualisierungsgeschwindigkeit, die Wartungsfunktionen und die Serververwaltungsmethoden der verschiedenen Betreiber stark variieren. Cloud-Dienstanbieter stellen Schutzregeln im Voraus bereit, um wertvolle Zeit zwischen der Patch-Veröffentlichung und der groß angelegten Installation zu gewinnen.
Aber auf lange Sicht ist die zuverlässigste Lösung immer noch ein Upgrade auf die offiziell veröffentlichte Reparaturversion von PHP. Die temporären Schutzmaßnahmen von Cloudflare können zusätzliche Barrieren für Websites darstellen, sie können jedoch nicht garantieren, dass alle Angriffsvarianten blockiert werden. Für Websites, auf denen PHP ausgeführt wird, sind die rechtzeitige Reparatur der zugrunde liegenden Betriebsumgebung, die Aktivierung von Firewall-Regeln und die kontinuierliche Überprüfung abnormaler Anfragen nach wie vor wichtige Maßnahmen zur Behebung dieser php2shell-Schwachstelle.
Verwandte Artikel:
PHP hat schwerwiegende Sicherheitslücken aufgedeckt und globale Website-Betreiber sind dringend in den Patching-Status eingetreten
Kommentare