Picus Security: PHP2Shell-Schwachstelle zeigt Grenzen automatisierter Penetrationstests
Die Veröffentlichung kritischer PHP-Schwachstellen verdeutlicht, dass automatisierte Penetrationstests oft an ihre Grenzen stoßen, wenn für neue Bedrohungen noch keine validen Exploit-Methoden vorliegen.
Die im Oktober 2026 bekannt gewordenen, kritischen PHP-Schwachstellen (CVE-2026-109618 und CVE-2026-109619) haben die Arbeitsweise gängiger Sicherheitsvalidierungstools in den Fokus gerückt. Da die Fehler im Kern des PHP-Interpreters liegen, sind weite Teile der digitalen Infrastruktur betroffen, von WordPress-Installationen bis hin zu spezifischen Unternehmensanwendungen.
Picus Security analysierte, dass automatisierte Penetrationstests während der kritischen Anfangsphase nach Bekanntwerden der Lücken oft nur begrenzte Ergebnisse lieferten. Da zum Zeitpunkt der Veröffentlichung keine ausgereiften Exploit-Skripte existierten und das Risiko für Systemausfälle bei aktiven Tests in Produktionsumgebungen hoch war, beschränkten sich viele Lösungen auf die Identifizierung betroffener Softwareversionen. Dies lässt jedoch die entscheidende Frage offen, ob die implementierten Sicherheitskontrollen (wie Firewalls) einen Angriff tatsächlich abwehren könnten.
Alternativ dazu ermöglichte der Ansatz der Breach and Attack Simulation (BAS) eine präzisere Überprüfung. Anstatt instabile Exploits auszuführen, simuliert BAS bösartigen Datenverkehr, um zu testen, welche Sicherheitsbarrieren den Angriff blockieren würden. Laut Picus Security konnten Sicherheitsteams dadurch innerhalb weniger Stunden nach Bekanntgabe der Schwachstelle eine Bewertung ihrer Verteidigungsmaßnahmen vornehmen.
Der Vorfall unterstreicht, dass die reine Identifizierung von Schwachstellen nur einen Teil der Sicherheitsstrategie abdeckt. Die Validierung der aktiven Abwehrfähigkeit durch Simulation ist ein wesentlicher Bestandteil, um auf neue Bedrohungen zu reagieren, bevor diese technisch voll ausgenutzt werden können.