Blog · Sicherheitsanalyse

PHP2Shell braucht eine HTTP-Anfrage. OpenNHP lässt sie nie ankommen.

Patches und WAFs müssen die CVE kennen. Unsichtbarkeit nicht.

NHP
The OpenNHP Team
22. Oktober 2026 PHP2Shell KI-Sicherheit Zero Trust
PHP2Shell auf einen Blick
9.2CVSS-Wert, RCE ohne Login
~70%der Websites nutzen PHP (Wiz)
10+ JahreFehler in jedem PHP seit 5.4
63 Tagevon Entdeckung bis Patch

Zwei CVEs (CVE-2026-109618, CVE-2026-109619) in der PHP-Engine selbst erlauben einem nicht authentifizierten Angreifer, Code auszuführen oder Serverspeicher zu lesen – ganz ohne Fehler in der Anwendung. Wiz Research fand sie mit Frontier-KI und zeigte funktionierende Exploits gegen WordPress, Drupal und Joomla.

Der Angriff muss PHP erreichen. OpenNHP verhindert das.
OHNE OPENNHPAngreiferoder KI-ScannerExploit-AnfragePHP-Serveröffentlicher Port 443RCE ohne Login+ SpeicherleckMIT OPENNHPAngreiferohne OpenNHP-IDExploit-AnfrageOpenNHP ACeBPF/XDP, blockt alles✕ VERWORFEN✓ ERLAUBTPHP-Serverkein offener PortBefugter NutzerOpenNHP AgentOpenNHP-Knock
Jede PHP2Shell-Kette beginnt mit einer nicht authentifizierten Anfrage. Hinter OpenNHP wird diese Anfrage verworfen, bevor sie PHP erreicht.
Das Patch-Rennen
19. Aug.KI findet den Fehler24. Aug.An PHP gemeldet17. Okt.Aktiv ausgenutzt21. Okt.Patch erschienenIhr PatchTage? Wochen?Öffentlicher PHP-Server: angreifbar bis zum Patch (Fehler 10+ Jahre alt)PHP-Server hinter OpenNHP: für nicht authentifizierte Anfragen durchgehend unerreichbar
Angreifer hatten den Exploit, bevor es den Patch gab. Versteckte Server müssen dieses Rennen nicht gewinnen.
Patch vs. WAF vs. OpenNHP
PHP patchenWAF-RegelnOpenNHP
Wirkt, bevor die CVE bekannt ist✕✕✓
Braucht eine Exploit-Signatur—JaNein
Blockiert RCE ohne Login✓ nach Einspielen~ bekannte Varianten✓
Blockiert Speicherlecks✓ nach Einspielen~ bekannte Varianten✓
Verbirgt den Server vor Scannern✕✕✓
Behebt den Fehler selbst✓✕✕

Sie ergänzen sich: OpenNHP entfernt den nicht authentifizierten Angriffsweg, der Patch entfernt den Fehler. Patchen Sie trotzdem.

Beweise statt Versprechen
1.2M+Angriffspakete, die unser geschützter Server seit 16. Okt. still verworfen hat · live 0Funde auf geschützten Hosts beim IETF 126 Hackathon, inkl. eines KI-Angreifers
Wo OpenNHP passt
✓ Hinter OpenNHP verbergen
  • Admin-Oberflächen (/wp-admin, Drupal-Admin)
  • Interne PHP-Apps und Backoffices
  • APIs für bekannte Clients
  • Staging- und Verwaltungsserver
Muss öffentlich bleiben
  • Websites für anonyme Besucher
  • Zuerst patchen, WAF-Regeln nutzen
  • Admin- und Origin-Zugang verbergen

Berechtigte Nutzer erreichen eine versteckte App weiterhin. OpenNHP verkleinert also den Kreis möglicher Angreifer von „dem ganzen Internet“ auf „Personen, die Sie freigegeben haben“.

Was jetzt zu tun ist
1
Patchen
PHP 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 bzw. das korrigierte Paket Ihrer Distribution.
2
Bestandsaufnahme
Listen Sie die PHP-Dienste auf, die nicht öffentlich erreichbar sein müssen.
3
Verbergen
Stellen Sie sie hinter OpenNHP, damit der nächste PHP2Shell nichts erreicht.
Vertrauen Sie uns nicht. Versuchen Sie es bei IETF 127 zu knacken.
Nov. 14–15 2026
IETF 127 Hackathon · San Francisco
Hilton San Francisco Union Square · Kostenlos · Remote willkommen
Bringen Sie Ihre KI-Angriffstools, PHP2Shell-Tricks und Scanner mit. Die Aufgabe: einen Server hinter OpenNHP ohne vorherige Authentifizierung erreichen.
Kostenlos anmelden → Details zur Challenge →
Ressourcen

Authentifizierung vor der Verbindung.

Der nächste PHP2Shell steckt schon in jemandes KI-Pipeline. Geben Sie ihm nichts, was er erreichen kann.

Hilfe beim Verbergen Ihrer PHP-Dienste? Kontaktieren Sie uns unter [email protected].

← Back to OpenNHP.org