Auf 25 Firewalls und Servern in den USA, Japan, Taiwan und Südkorea haben Angreifer im Oktober Root-Rechte erlangt, drei der Systeme gehören zu einer regierungsnahen US-Organisation. Die israelische Sicherheitsfirma Dream vermutet hinter der Kampagne eine mit China verbundene Gruppe. Den Weg ebneten die PHP-Sicherheitslücken PHP2Shell und eine seit Mai bekannte Sicherheitslücke im Linux-Kernel.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenAm 23. Oktober um 20:14 Uhr deutscher Zeit übernahm ein automatisiertes Skript eine Firewall der US-Organisation, danach stürzte das Gerät ab.[1] Am nächsten Vormittag kamen die Angreifer über eine zweite Firewall zurück und blieben im internen Netz.
Das Wichtigste in Kürze
- Dream zählt 25 übernommene Systeme, drei bei einer regierungsnahen US-Organisation.
- Die Angriffskette verbindet die PHP-Sicherheitslücken CVE-2026-109618 und CVE-2026-109619 mit Fragnesia (CVE-2026-46300) im Linux-Kernel.
- Betroffen sind Firewalls eines ungenannten Herstellers mit PHP 8.0.30, das seit 2023 keine Updates mehr bekommt.
Wie kamen die Angreifer bis ins Active Directory?
Die Verwaltungsoberfläche der Firewalls läuft auf PHP 8.0.30, ältere Versionen der Gerätesoftware nutzen PHP 7.4.33.[1] Beide Versionsreihen bekommen vom PHP-Team seit 2023 beziehungsweise 2022 keine Updates mehr.[3] Gegen PHP2Shell lieferte das PHP-Team für sie am 21. Oktober nur Korrekturen im Quellcode, die jeder Gerätehersteller selbst einbauen muss.
Über PHP2Shell führten die Angreifer zunächst Code mit den Rechten des Webservers aus, die Sicherheitslücke Fragnesia im Linux-Kernel verschaffte ihnen danach Root-Rechte. Aus der Konfiguration der ersten Firewall lasen sie den Aufbau des internen Netzes ab, samt Domänencontrollern und dem zentralen Verwaltungsserver der Firewalls. Ein SSH-Tunnel vom zweiten Gerät nach außen, der jeden Neustart überstand, brachte sie auch auf diesen Server.[1]
Im Active Directory entschlüsselten die Angreifer das Passwort eines Dienstkontos und lasen alle Nutzer und Gruppen aus. In der Domäne war keine Kontosperre nach Fehlversuchen eingerichtet. Ob das Durchprobieren gängiger Passwörter Erfolg hatte und die Angreifer versteckte Konten anlegten, bleibt offen: Die Ergebnisse lagen auf dem Verwaltungsserver.
Wie viel KI steckte in dem Angriff?
Auf den Servern der Angreifer lag Claude Code von Anthropic, die Angriffsplattform aiscan nutzte die Sprachmodelle DeepSeek und Kimi. Einen direkten Beleg, dass eine KI den Angriffscode geschrieben hat, sieht Dream nicht. Aufbau, Kommentare und Einheitlichkeit von rund 40 Skripten sprechen nach Dreams Einschätzung aber für KI-Hilfe.[1]
Anthropic beschrieb im November 2025 eine nach eigener Einschätzung staatlich unterstützte chinesische Gruppe, die Claude Code gegen rund 30 Ziele einsetzte und 80 bis 90 Prozent der Arbeit der KI überließ.[2] Vergangene Woche meldete Microsoft staatsnahe Hacker aus China, die mit KI-Agenten mehr als 2.250 Microsoft-365-Mandanten angriffen. Firewalls dienten auch bei einer Angriffswelle auf Geräte von Fortinet und Palo Alto als Einfallstor.
Dream, mitgegründet vom früheren österreichischen Bundeskanzler Sebastian Kurz, bewirbt im Bericht die eigene Software zur Angriffserkennung. Hersteller und US-Organisation nennt die Firma nicht, unabhängig bestätigt sind die Funde nicht.
Eine Firewall soll das Netz abschirmen. Mit einem PHP ohne Updates seit 2023 wurde sie zum Einfallstor.
Michael Dobler, Herausgeber Dr. Web
Was sollten Betreiber in Deutschland jetzt prüfen?
Stellt eine Einrichtung, die unter NIS2 fällt, einen erheblichen Sicherheitsvorfall fest, verlangt das BSI-Gesetz eine erste Meldung spätestens 24 Stunden nach Kenntnis und eine ausführlichere nach 72 Stunden.[4] Was zu einer Grundausstattung der Abwehr gehört, fassen die Grundlagen der Cybersicherheit zusammen. Für Administratoren gilt:
- Die Verwaltungsoberfläche nur intern erreichbar machen und Updates des Herstellers gegen PHP2Shell sofort einspielen.
- Öffentliche Verzeichnisse der Geräte nach unbekannten PHP-Dateien durchsuchen, Dream fand eine Webshell von 103 Byte.
- Neue Systemdienste und Einträge in rc.local prüfen, über die ein SSH-Tunnel nach außen jeden Neustart übersteht.
- Im Active Directory eine Kontosperre nach Fehlversuchen einrichten und die Passwörter der auf der Firewall hinterlegten Dienstkonten wechseln.
Quellen
4 Quellen anzeigenQuellen ausblenden
- DreamChained PHP2Shell Exploit Roots 25 Servers, including US Government Servers
- AnthropicDisrupting the first reported AI-orchestrated cyber espionage campaign
- PHP GroupUnsupported Branches
- Gesetz über das Bundesamt für Sicherheit in der Informationstechnik§ 32 BSIG, Meldepflichten, Abs. 1 Nr. 1 und 2
Mehr Newshunger?
- PHP2Shell in PAN-OS: Die letzten Hotfixes von Palo Alto folgen am 30. Oktober
- PHP2Shell: Dritte Sicherheitslücke in PHP bekommt kein Notfall-Update
- Microsoft: Staatsnahe Hacker aus China griffen mit KI-Agenten über ConnectWise mehr als 2.250 Microsoft-365-Mandanten an
- Kampagne gegen Fortinet und Palo Alto: Angreifer erbeuteten mehr als 70.000 Zugangsdaten
- Arista: Angreifer nutzen die dritte kritische VeloCloud-Sicherheitslücke seit Juli
- Fragnesia: Dritte Linux-Kernel-Lücke in zwei Wochen
- Wie sicher ist PHP nach PHP2Shell noch?
