--- title: "Untersuchung von PHP2Shell-bezogenen Aktivitäten mit Sumo Logic" page_name: "Untersuchung von PHP2Shell-bezogenen Aktivitäten mit Sumo Logic" type: "blog" slug: "investigate-php2shell-activity" published_at: "2026-10-23" modified_at: "2026-10-30" url: "https://www.sumologic.com/de/blog/investigate-php2shell-activity" canonical: "https://www.sumologic.com/de/blog/investigate-php2shell-activity" markdown_url: "https://www.sumologic.com/de/blog/investigate-php2shell-activity.md" lang: "de" excerpt: "Identifizieren Sie Aktivitäten im Zusammenhang mit PHP2Shell (CVE-2026-109618 und CVE-2026-109619) und erfahren Sie, wie Sie mit Sumo Logic reagieren." taxonomy_blog_category: - "SIEM" - "SecOps und Sicherheit" --- [ Alle Blogs ](https://www.sumologic.com/de/blog "Blog")[SIEM](https://www.sumologic.com/de/blog/cloud-siem), [SecOps und Sicherheit](https://www.sumologic.com/de/blog/secops-security) # Untersuchung von PHP2Shell-bezogenen Aktivitäten mit Sumo Logic [Paul Sheck](#blog-author-block-345)[Daniel Kaiser](#blog-author-block-332) October 23, 2026 7 min read [SIEM](https://www.sumologic.com/de/blog/cloud-siem), [SecOps und Sicherheit](https://www.sumologic.com/de/blog/secops-security) ##### Inhaltsverzeichnis **PHP** (ein rekursives Akronym für PHP: Hypertext Preprocessor) ist eine kostenlose, quelloffene serverseitige Skriptsprache, die hauptsächlich für die Webentwicklung verwendet wird. Nach Angaben des Web-Technologie-Trackers W3Techs [wird PHP auf „fast 70 % aller Websites ausgeführt, deren Programmiersprache identifiziert werden kann](https://www.reuters.com/technology/what-is-php-why-did-it-take-government-websites-offline-2026-10-21/).“ **PHP2Shell** ist ein Paar kritischer Fehler im PHP-Interpreter selbst, jeweils mit einem CVSS v4.0-Score von 9,2. Beide ermöglichen es einem nicht authentifizierten Angreifer, Code auf einem Webserver mit einer einzigen handwerklich erstellten Webanfrage oder einem Paar davon auszuführen, bevor ein Anwendungscode ausgeführt wird. - CVE-2026-109618 missbraucht die Fehlerbehandlung von PHP bei Speichermangel; - CVE-2026-109619 missbraucht den Status, der von einer früheren fehlgeschlagenen Anfrage auf demselben Worker übrig bleibt. Da der Fehler in PHP und nicht in WordPress, Drupal oder Magento vorhanden ist, ist jeder erreichbare PHP-Endpunkt auf einem betroffenen Server exponiert, einschließlich Anmeldeseiten, statischer Formulare und Integritätsprüfungen. Jede PHP-Version aus dem letzten Jahrzehnt ist betroffen (zurück bis 5.4). Behobene Versionen sind 8.5.12, 8.4.27, 8.3.36, 8.2.35. PHP 8.1 und älter erhalten nur minimale Quellcode-Backports. ## PHP2Shell-Offenlegungszeitplan Zwei kritische PHP-Sicherheitslücken, CVE-2026-109618 und CVE-2026-109619, gingen innerhalb weniger Tage von privater Forschung zu aktiver Ausnutzung über. Nachfolgend finden Sie den Zeitplan der Ereignisse: - **August 2026:** Calif findet die ersten Remote-Code-Execution-Pfade (RCE) während eines KI-gestützten Audits und meldet sie PHP. Wiz findet die Fehler unabhängig davon und meldet sie PHP. - **Anfang Oktober 2026:** Cloudflare beginnt mit der Entwicklung von Web Application Firewall (WAF)-Schutzmaßnahmen. - **17. Oktober 2026:** AWS meldet erste bekannte Exploit-Versuche gegen Amazon MadPot, vier Tage vor der geplanten koordinierten Offenlegung. - **20. Oktober 2026:** Details der zwei kritischen Remote-Code-Sicherheitslücken in PHP, CVE-2026-109618 und CVE-2026-109619, wurden vor der von der PHP Foundation geplanten koordinierten Offenlegung am 22. Oktober 2026 durchgesickert. - **21. Oktober 2026:** Die PHP Foundation gibt die Sicherheitslücken vorzeitig bekannt und empfiehlt allen, ein Update durchzuführen. Notfall-Updates für die betroffenen Softwareversionen werden später an diesem Tag veröffentlicht. - **21. Oktober 2026 und danach:** Forscher berichten von umfangreichen Exploit-Versuchen. ## Wie suche ich nach PHP2Shell-Aktivitäten in meiner Umgebung? Lassen Sie uns mit Sumo Logic nach PHP2Shell-Aktivitäten suchen. Für jeden Aktivitätstyp finden Sie zwei Suchanfragen: eine gegen Rohprotokolle verschiedener Typen und eine gegen [normalisierte Datensätze](https://www.sumologic.com/help/docs/cse/schema/record-processing-pipeline/) für Kunden, die [Sumo Logic Cloud SIEM](http://www.sumologic.com/de/solutions/siem) haben. Zwei Hinweise, bevor Sie beginnen: - **Rohprotokoll-Suchanfragen müssen angepasst werden.** Die Beispiele für Rohprotokoll-Suchanfragen enthalten Parsing-Operationen, die für einen Protokollquellentyp spezifisch sind, z. B. Apache-Zugriffsprotokolle. Sie beschränken sich auch auf eine Protokollkategorisierung (z. B. `_sourceCategory=linux/system webserver`), die Sie beim Onboarding der Protokollquelle zuweisen. Wenn Sie die hier enthaltenen Beispiele für Rohprotokoll-Suchanfragen verwenden möchten, müssen Sie diese wahrscheinlich für Ihre Umgebung anpassen. - **Datensatz-Suchanfragen funktionieren wie geschrieben.** Sie basieren auf dem normalisierten Schema von Sumo Logic Cloud SIEM, daher sind sie ohne Änderungen verwendbar. Diese Suchanfragen suchen nach Verhalten auf dem Webserver nach dem anfänglichen Exploit. Sie suchen nicht nach HTTP-Transaktionen, die Exploit-Payloads enthalten könnten. In vielen Fällen haben Sie Sicherheitsprodukte wie Web Application Firewalls „vor“ Ihren Internet-exponierten Webservern, und diese Produkte haben ihre eigenen Erkennungen rund um Webserver-Exploits mit HTTP-Analyse. Die Telemetrie von diesen Produkten sollte in Sumo Logic für Korrelation, Alarmierung und weitere Analyse aufgenommen werden. Der Fokus der Detection Engineering in diesem Blog liegt auf Verhaltensbeobachtungen auf dem Webserver im Zusammenhang mit dem anfänglichen Exploit und der Folgemaßnahmen nach einem erfolgreichen Angriff. Diese Beobachtungen können dann mit der Telemetrie von Ihren anderen Sicherheitsprodukten korreliert werden. ### Suchen Sie nach Spitzen bei Webserver-Fehlern Die PHP2Shell-Sicherheitslücken stammen aus Fehlern in der PHP-Fehlerbehandlung, daher werden Exploit-Versuche als Fehler auf Ihren Webservern angezeigt. Mit dem [timeslice-Suchoperator](https://www.sumologic.com/help/docs/search/search-query-language/search-operators/timeslice/) von Sumo Logic können Sie leicht beurteilen, ob es Spitzen bei der Fehleraktivität auf Ihren Webservern gegeben hat. Im folgenden Beispiel zählen wir die Anzahl der serverseitigen Fehler (die einen HTTP-Antwortcode im Bereich 500–599 generieren) pro Stunde. Wir können die Ergebnisse visuell auf Spitzen überprüfen. ##### **Beispiel 1: (Syslog-umschlossene) Apache-Zugriffsprotokolle** ``` (_sourceCategory=linux/system webserver_system=apache webserver_farm=* OR _sourceCategory=linux/syslog) httpd-access HTTP (50* OR 51* OR 52* OR 53* OR 54* OR 55* OR 59*) | parse "httpd-access: *" as mesg nodrop | parse regex field=mesg "^(?\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})\s+(?\S+)" nodrop | parse regex field=mesg "\"(?[A-Z]+)\s(?\S+)\sHTTP\/[\d\.]+\"\s(?\d+)\s(?[\d-]+)" nodrop | where !isNull(status_code) and status_code >= 500 and status_code <= 599 | timeslice 1h | count by _timeslice, _sourceHost | sort by _timeslice, _count desc ``` ##### Beispiel 2: Sumo Logic Cloud SIEM-Datensätze Beachten Sie, dass die folgende Abfrage davon abhängt, dass entweder die [Standard-Match-Listen](https://www.sumologic.com/help/docs/cse/match-lists-suppressed-lists/standard-match-lists/#standard-match-lists) web\_servers oder http\_servers in Ihrer Bereitstellung erstellt und gefüllt werden. ``` _index=sec_record* | where http_response_statusCode >= 500 and http_response_statusCode <= 599 | where jsonArrayContains(listMatches, "web_servers") or jsonArrayContains(listMatches, "http_servers") | timeslice 1h | count by _timeslice, dstDevice_ip | sort by _timeslice, _count desc ``` *Abbildung 1: Anstieg der Fehleraktivität des Webservers* ### Identifizieren Sie Webserver-Prozesse, die eine Shell starten Wenn ein Angreifer PHP2Shell erfolgreich ausnutzt, kann er bösartigen Code über einen untergeordneten Prozess des Webservers oder des PHP-Prozesses ausführen. Die folgende Abfrage identifiziert häufige Webserver-Prozesse, die in Windows- und Linux-Umgebungen eine vollständige Betriebssystem-Shell starten. ##### Beispiel 1: Windows-Prozessprotokolle ``` _sourceCategory ="windows/eventlogs" | parse "*" as eventId | where eventId = "4688" | parse "*" as parentBaseImage nodrop | parse "*" as baseImage nodrop | parse "*" as commandLine nodrop | parse "*" as user_username nodrop | parse "*" as user_domain nodrop | parse regex "(?[^<]+)" nodrop | where parentBaseImage matches /(?i).*(w3wp\.exe|httpd\.exe|nginx\.exe|php-cgi\.exe|tomcat\.exe)$/ | where baseImage matches /(?i).*(cmd\.exe|powershell\.exe|bitsadmin\.exe|pwsh\.exe|powershell_ise\.exe)$/ | fields device_hostname, user_domain, user_username, parentBaseImage, baseImage, commandLine ``` ##### Beispiel 2: Sumo Logic Cloud SIEM-Datensätze ``` _index=sec_record* | where parentBaseImage matches /(?i).*(w3wp\.exe|httpd\.exe|nginx\.exe|php-cgi\.exe|tomcat\.exe|\/httpd|\/nginx|\/php-cgi|\/tomcat|\/apache2|\/apache)$/ | where baseImage matches /(?i).*(cmd\.exe|sh\.exe|bash\.exe|powershell\.exe|bitsadmin\.exe|pwsh\.exe|powershell_ise\.exe|\/bash|\/sh|\/dash|\/zsh|\/ksh|\/csh|\/python3?|\/perl)$/ | fields device_hostname, device_ip, user_username, parentBaseImage, baseImage, commandLine ``` *Abbildung 2: Auffinden einer Shell, die von nginx gestartet wird* ### Suchen Sie nach Webserver-Prozessen, die häufige Web-Shell-Befehle ausführen Der Webserver kann auch Shell-Befehle direkt ausführen, anstatt über eine vollständige Betriebssystem-Shell. Die folgende Abfrage identifiziert häufige Discovery-, Credential-Harvesting- und Exfiltrationsbefehle, die als untergeordnete Prozesse des Webserver-Prozesses ausgeführt werden. ##### **Beispiel 1: Windows-Prozess**protokolle ``` _sourceCategory ="windows/eventlogs" | parse "*" as eventId | where eventId = "4688" | parse "*" as parentBaseImage nodrop | parse "*" as baseImage nodrop | parse "*" as commandLine nodrop | parse "*" as user_username nodrop | parse "*" as user_domain nodrop | parse regex "(?[^<]+)" nodrop | where parentBaseImage matches /(?i).*(w3wp\.exe|httpd\.exe|nginx\.exe|php-cgi\.exe|tomcat\.exe|apache).*/ | where commandLine matches /(?i).*(whoami|net user |ping |systeminfo |netstat |arp -a|ipconfig |ifconfig |curl |wget ).*/ | fields device_hostname, user_domain, user_username, parentBaseImage, baseImage, commandLine ``` ##### Beispiel 2: Sumo Logic Cloud SIEM-Datensätze ``` _index=sec_record* | where parentBaseImage matches /(?i).*(w3wp\.exe|httpd\.exe|nginx\.exe|php-cgi\.exe|tomcat\.exe|apache|\/httpd|\/nginx|\/php-cgi|\/tomcat|\/apache2).*/ | where commandLine matches /(?i).*(whoami|net user |ping |systeminfo |netstat |arp -a|ipconfig |ifconfig |curl |wget |id |uname |cat \/etc\/passwd|nc -).*/ | fields device_hostname, device_ip, user_username, parentBaseImage, commandLine ``` *Abbildung 3: Ein Remote-wget-Befehl als untergeordneter Prozess von Internet Information Server* ## Sumo Logic Cloud SIEM-Erkennungen Es gibt mehrere sofort einsatzbereite Sumo Logic Cloud SIEM-Regeln, die Web-Shell-Aktivitäten erkennen und dabei helfen, Webserver zu identifizieren, die erfolgreich durch PHP2Shell ausgenutzt wurden. Die Erkennungstheorien der Regeln sind dieselben wie die oben besprochenen Abfragen: ungewöhnliche untergeordnete Prozesse von Webserver-Prozessen und Spitzen in den Fehlerraten auf Webservern. Die folgenden Erkennungen können Ihnen bei der Untersuchung potenzieller Kompromittierungen helfen: | Cloud SIEM-Regel-ID | Regelname | |---|---| | MATCH-S00164 | Verdächtige Shells, die von Webservern erzeugt werden | | MATCH-S00174 | Webdienste, die häufige Web-Shell-Befehle ausführen | | MATCH-S00539 | Webserver, die verdächtige Prozesse ausführen\* | | OUTLIER-S00036 (neu) | Anstieg von HTTP-Serverfehlern von Quell-IP | | OUTLIER-S00037 (neu) | Anstieg von HTTP-Serverfehlern zu Ziel-IP | Wie bereits erwähnt, können Sie eine höherwertige Erkennung für erfolgreiche PHP2Shell-Exploits erstellen, indem Sie CHAIN-Regeln erstellen. Eine CHAIN-Regel korreliert eine Edge-Device-Beobachtung von PHP2Shell (z. B. eine WAF-Warnung) für eine Entität mit der Web-Shell-Erkennungslogik in der obigen Tabelle. Beachten Sie, dass diese Regeln die Erstellung und Befüllung von [Standard-Match-Listen](https://www.sumologic.com/help/docs/cse/match-lists-suppressed-lists/standard-match-lists/#standard-match-lists) erfordern. MATCH-S00539 verwendet die Match-Liste „web\_servers“, um die Erkennung auf die Prozessausführung auf Ihren Webservern zu beschränken. OUTLIER-S00036 und OUTLIER-S00037 benötigen die Match-Listen „web\_servers“ oder „http\_servers“, um serverseitige Fehler zu verfolgen. Erfahren Sie, wie Sie [eine Match-Liste erstellen und befüllen](https://help.sumologic.com/docs/cse/match-lists-suppressed-lists/create-match-list/). ## Empfehlungen zur Behebung und Entschärfung von PHP2Shell Die Anleitung der PHP-Gruppe ist klar: Aktualisieren Sie jetzt. „Wer ist gefährdet: alle PHP-Installationen, die Webanfragen verarbeiten, einschließlich PHP-FPM, Apache mit mod\_php, php-cgi, FrankenPHP und LiteSpeed. Wir halten das Risiko für mod\_php am höchsten, mit einem nachgewiesenen Exploit, bei dem eine nicht authentifizierte Anfrage den Angriff auslösen kann, bevor ein Anwendungscode ausgeführt wird.“ Lesen Sie die vollständige Empfehlung der PHP-Gruppe [hier](https://www.php.net/archive/2026.php#2026-10-21-5). [Die Analyse der Community zeigt, dass eine erfolgreiche Ausnutzung Angreifern die Befehlsausführung im Kontext des Webserver-Benutzers ermöglicht](https://www.crowdstrike.com/en-us/blog/crowdstrike-protects-customers-from-php-rce-zero-days/). Von dort aus können sie Web-Shells bereitstellen, API- und Datenbankzugangsdaten aus Konfigurationsdateien sammeln und in interne Netzwerke eindringen. Eine sofortige Aktualisierung wird empfohlen. Wenn Sie noch nicht aktualisieren können, verwenden Sie die oben genannten Suchanfragen und Erkennungen, um betroffene Server auf Post-Exploitation-Aktivitäten zu überwachen, die auf eine erfolgreiche Ausnutzung hindeuten. Wenn Sie noch nicht über Cloud SIEM verfügen und verstehen möchten, wie es Ihnen bei der Erkennung und Reaktion auf Bedrohungen wie diese helfen kann, [buchen Sie eine Demo, um mehr zu erfahren](http://www.sumologic.com/de/request-demo). ## Referenzen und weitere Ressourcen #### NIST-Schwachstelleninformationen 1. 2. #### Anleitung von PHP 3. 4. #### Ressourcen und Berichte der Cybersicherheits-Community 5. 6. 7. 8. 9. 10. 11. 12. 13. 14. 15. ### Artikel-Tags - [SIEM](https://www.sumologic.com/de/blog/cloud-siem) - [SecOps und Sicherheit](https://www.sumologic.com/de/blog/secops-security) Paul Sheck Manager, Threat Labs Paul Sheck loves patterns, games and process, and with 10+ years of security experience it’s a natural fit to apply these to security data within Sumo Logic’s Threat Labs team. When not working, Paul is either playing video games, doing photography, and/or enjoying time with his twin teenagers. Daniel Kaiser Senior Threat Research Engineer II Dan has over a decade of experience in cybersecurity, focusing on threat research, detection engineering, SIEM troubleshooting and capture-the-flag challenge development. As a detection engineer, he has developed high-quality analytics content centered on User and Entity Behavior Analytics, Network Detection and Response and the MITRE ATT&CK framework. Dan has published multiple blogs and delivered presentations for SANS, LogRhythm, Ultimate Windows Security and BrightTALK. Dan lives in Lakewood, Colorado, with his wife and dog. He enjoys running, snowboarding and cycling. [](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.sumologic.com%2Fde%2Fblog%2Finvestigate-php2shell-activity "Share on Facebook")[](https://twitter.com/intent/tweet?text=Untersuchung%20von%20PHP2Shell-bezogenen%20Aktivit%C3%A4ten%20mit%20Sumo%20Logic&url=https%3A%2F%2Fwww.sumologic.com%2Fde%2Fblog%2Finvestigate-php2shell-activity "Share on X")[](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.sumologic.com%2Fde%2Fblog%2Finvestigate-php2shell-activity "Share on LinkedIn")[](https://api.whatsapp.com/send?text=Untersuchung%20von%20PHP2Shell-bezogenen%20Aktivit%C3%A4ten%20mit%20Sumo%20Logic%20https%3A%2F%2Fwww.sumologic.com%2Fde%2Fblog%2Finvestigate-php2shell-activity "Share on WhatsApp")[](https://www.sumologic.com/feed?post_type=blog "RSS Feed") [Vorheriger Blog Der Root Cause Agent: Ein agentischer Ansatz für Observability](https://www.sumologic.com/de/blog/root-cause-agent-agentic-approach-to-observability) Leser, die dies gelesen haben, fanden auch interessant [ Das KI-SOC erklärt: Intelligente Sicherheit für moderne Bedrohungen August 26, 2026 ](https://www.sumologic.com/de/blog/ai-soc-intelligent-security-for-modern-threats)[ Die Protokolle, die Sie zur Untersuchung eines Phishing-Vorfalls benötigen July 2, 2026 ](https://www.sumologic.com/de/blog/ai-phishing-logs-you-need)[ Bevor Sie Ihr SIEM ersetzen: KI-gestützte Sicherheit erfordert operativen Kontext, nicht nur zentralisierte Daten May 21, 2026 ](https://www.sumologic.com/de/blog/before-you-replace-your-siem)[ Schließen der KI-Compliance- und Transparenzlücke: Integrieren Sie die Claude Compliance API in Sumo Logic May 21, 2026 ](https://www.sumologic.com/de/blog/sumo-logic-claude-compliance-api-integration) [AI Instructions](https://www.sumologic.com/ai-instructions.md)