PHP: Betriebssystem-Befehlsinjektion (CVE-2024-4577)

Was ist betroffen, was ist zu tun

In PHP-Versionen 8.1.* vor 8.1.29, 8.2.* vor 8.2.20 und 8.3.* vor 8.3.8 kann bei der Verwendung von Apache und PHP-CGI unter Windows das Betriebssystem so konfiguriert sein, dass bestimmte Codepages verwendet werden. In diesem Fall könnte Windows ein "Best-Fit"-Verhalten anwenden, um Zeichen in den Befehlszeilenargumenten zu ersetzen, die an Win32-API-Funktionen übergeben werden.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie PHP auf Version 8.1.29, PHP auf Version 8.2.20, PHP auf Version 8.3.8. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• PHP lt 8.1.0..8.1.29
• PHP lt 8.2.0..8.2.20
• PHP lt 8.3.0..8.3.8

Behoben in

• PHP 8.1.29
• PHP 8.2.20
• PHP 8.3.8

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • PHP auf gepatchte Version aktualisieren: 8.3.8, 8.2.20 oder 8.1.29. Für ältere Branches (8.0, 7.x) existiert kein Fix — sofort migrieren oder PHP-CGI abschalten.
   • Windows-Hosts mit Apache + PHP-CGI priorisieren: Konfiguration prüfen auf cgi.force_redirect = 0 sowie ScriptAlias/Action Directives, die php-cgi.exe aufrufen. Diese Kombination ist das Angriffsziel.
   • Sofortige Kompensation ohne Patch: PHP-CGI durch mod_php, PHP-FPM oder FastCGI-Setup ersetzen. Alternativ via mod_rewrite die bekannten Exploit-Pattern blockieren: Requests mit %AD (Soft-Hyphen) in Query-String bzw. -d, -T, -s Argumenten verwerfen.
   • Prüfen, ob der Server mit Locale/Codepage 932 (Japanisch), 936 (Vereinfachtes Chinesisch), 949 (Koreanisch) oder 950 (Traditionelles Chinesisch) läuft — diese sind durch das Best-Fit-Mapping besonders betroffen, aber andere Codepages sind nicht sicher.
   • Internet-exponierte PHP-Windows-Hosts aus WAF/Reverse-Proxy heraus filtern oder temporär vom Netz nehmen, bis Patch-Status bestätigt ist. Massenscans und automatisierte Exploit-Chains laufen seit Juni 2024 kontinuierlich.
   • Credential- und Webshell-Review: PHP-Sessions, Admin-Hashes, API-Keys und web.config/.htaccess-Modifikationen auf verdächtige Änderungen seit Juni 2024 prüfen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzwerksegmentierung: PHP-CGI-Hosts dürfen nur eingehenden HTTP(S)-Verkehr vom Reverse-Proxy/WAF annehmen. Egress-Filter blockieren ausgehende Verbindungen zu TCP 443/4444/8080 außer zu explizit erlaubten Zielen, um Reverse-Shell-Payloads zu stoppen.
   • WAF/IPS-Regel: Requests mit %AD im Query-String blockieren; ebenso Query-Strings, die ein Minuszeichen gefolgt von PHP-CLI-Switches enthalten (-d allow_url_include, -d auto_prepend_file, -T, -s, -n). Suricata/Snort-Signaturen für CVE-2024-4577 sind von Emerging Threats und Talos verfügbar — regelmäßig aktualisieren.
   • Apache-Härtung: cgi.force_redirect = 1 setzen, ScriptAlias auf php-cgi.exe entfernen, stattdessen über mod_fcgid oder PHP-FPM-Socket einbinden. XAMPP-Default-Installationen (Standard-Alias /php-cgi/php-cgi.exe) sofort ändern.
   • Endpoint-Härtung: Windows-Systemlocale auf en-US bzw. de-DE umstellen, wo Best-Fit-Behavior unkritischer ist — ersetzt NICHT den Patch, reduziert aber die Angriffsfläche.
   • Least-Privilege: Der Apache-Service-Account darf keine Schreibrechte auf Webroot, kein cmd.exe/powershell.exe-Spawn-Recht via AppLocker/WDAC. Prozess-Spawning aus php-cgi.exe komplett blockieren.
   • Monitoring-Tap am Reverse-Proxy aktivieren und alle 4xx/5xx-Responses mit ungewöhnlichen Query-Strings mitschneiden — Angreifer probieren Codepage-Varianten durch.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Webserver-Access-Log: Grep nach %AD oder URL-dekodierten Soft-Hyphens im Query-String kombiniert mit .php-Pfaden. Sigma-Shape: selection.cs-uri-query|contains: ['%AD', '-d+allow_url_include', '-d+auto_prepend_file', '%ADd+'].
   • Sysmon EID 1 auf Windows: php-cgi.exe als ParentImage mit Child cmd.exe, powershell.exe, certutil.exe, curl.exe, whoami.exe — klassische Post-Exploitation-Chain. KQL: DeviceProcessEvents | where InitiatingProcessFileName == "php-cgi.exe" and FileName in ("cmd.exe","powershell.exe","certutil.exe","mshta.exe").
   • Sysmon EID 3/EID 22: ausgehende Verbindungen oder DNS-Queries vom php-cgi.exe-Prozessbaum zu nicht-geschäftlichen Zielen — häufig Cobalt Strike, Mirai-Varianten, Cryptominer-Dropper.
   • Datei-Monitoring: neu geschriebene .php-, .aspx- oder .bat-Dateien im Webroot durch den Apache-Service-Account (Sysmon EID 11). Insbesondere kurze Dateien in Upload-Verzeichnissen sind typische Webshells.
   • Netzwerk-Telemetrie (Zeek/Suricata): HTTP-Requests mit %AD-Byte im URI, besonders in POST-Bodies oder langen Query-Strings. Suricata-Rule-ID der ET-OPEN-Ruleset-Signaturen für CVE-2024-4577 aktivieren.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

In PHP-Versionen 8.1.* vor 8.1.29, 8.2.* vor 8.2.20 und 8.3.* vor 8.3.8 kann bei der Verwendung von Apache und PHP-CGI unter Windows das Betriebssystem so konfiguriert sein, dass bestimmte Codepages verwendet werden. In diesem Fall könnte Windows ein "Best-Fit"-Verhalten anwenden, um Zeichen in den Befehlszeilenargumenten zu ersetzen, die an Win32-API-Funktionen übergeben werden. Das PHP-CGI-Modul kann diese Zeichen fälschlicherweise als PHP-Optionen interpretieren, was es einem böswilligen Benutzer ermöglichen könnte, Optionen an das ausgeführte PHP-Binärprogramm zu übergeben und somit die Quellcodes von Skripten preiszugeben oder beliebigen PHP-Code auf dem Server auszuführen.

Quelle: CSA/SingCERT, NCSC NZ (CC BY 4.0), pwn.watch, NVD (NIST), OSV (Open Source Vulnerabilities), cvelistv5, CISA KEV Catalog, CVE.org (MITRE), BSI CSAF, BSI WID Portal

Hersteller und Produkte

• Fedora Project Infrastructure Fedora
• Oracle Communications
• PHP Group PHP
• PHP Group PHP

Weakness-Klassen (CWE)

• CWE-78Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection')

  Base

  The product constructs all or part of an OS command using externally-influenced input from an upstream component, but it does not neutralize or incorrectly neutralizes special elements that could modify the intended OS command when it is sent to a downstream component.

  Eintrag bei MITRE CWE-78

Quellen & Referenzen

• openwall.comlists/oss-security/2024/06/07/1web, Mailingliste, Hinweis Dritter
• arstechnica.comsecurity/2024/06/php-vulnerability-allows-attackers-to-run-mali…web, Exploit, Presse, Hinweis Dritter
• blog.orange.tw2024/06/cve-2024-4577-yet-another-php-rce.htmlweb, Hinweis Dritter
• cert.been/advisory/warning-php-remote-code-execution-patch-immediatelyweb, Hinweis Dritter
• devco.reSecurity alert: CVE-2024-4577, PHP CGI argument injection vulnerabilityweb, Exploit, Hinweis Dritter, pwn-watch
• github.com11whoami99/CVE-2024-4577web, Exploit
• github.comGHSA-3qgc-jrrr-25jv: argument injection in PHP-CGIweb, Exploit, Hinweis Dritter, pwn-watch
• github.comrapid7/metasploit-framework/pull/19247web, Exploit, Issue-Tracker, Patch
• github.comwatchtowrlabs/CVE-2024-4577web, Exploit, Hinweis Dritter
• github.comxcanwin/CVE-2024-4577-PHP-RCEweb, Exploit, Hinweis Dritter
• isc.sans.edudiary/30994web, Exploit, Hinweis Dritter
• labs.watchtowr.comno-way-php-strikes-again-cve-2024-4577web, Exploit, Hinweis Dritter
• lists.fedoraproject.orgarchives/list/package-announce@lists.fedoraproject.org/message/…web, Mailingliste
• lists.fedoraproject.orgarchives/list/package-announce@lists.fedoraproject.org/message/…web, Mailingliste
• security.netapp.comadvisory/ntap-20240621-0008web, Hinweis Dritter
• imperva.comblog/imperva-protects-against-critical-php-vulnerability-cve-20…web, Hinweis Dritter
• php.netChangeLog-8.phpweb, Release Notes
• php.netChangeLog-8.phpweb, Release Notes
• php.netChangeLog-8.phpweb, Release Notes
• vicarius.iovsociety/posts/php-cgi-argument-injection-to-rce-cve-2024-4577web, Exploit, Hinweis Dritter