Hacker dringen über Web-Sicherheitslücke in europäische Regierungsbehörde ein
Angreifer drangen über einen öffentlichen Server ein und versuchten, zentrale Kontrollsysteme der Verwaltung zu kapern.
Die Geschichte geht weiter
Palo Alto Networks zieht Bericht über Hackerangriff auf Behörde zurück
27. Oktober 2026Die Sicherheitssparte Unit 42 korrigiert ihre Einschätzung, wonach eine kritische Weblücke das Einfallstor für eine Attacke auf eine europäische Regierungsstelle war.
Das Wesentliche
Sicherheitsforscher haben einen erfolgreichen Cyberangriff auf eine ungenannte europäische Regierungsbehörde dokumentiert, bei dem eine neu entdeckte Schwachstelle in weit verbreiteter Websoftware ausgenutzt wurde. Die Angreifer drangen über einen externen Webserver ein, erreichten innerhalb von zwei Stunden interne Identitätssysteme und versuchten, umfassende Administratorrechte zu erlangen. Zwar stehen inzwischen Softwarekorrekturen bereit, doch der Vorfall verdeutlicht, wie schnell Schwachstellen an der Netzwerkperipherie tiefere Verwaltungsebenen offenlegen können.
Die Kernpunkte
- Angreifer erbeuteten innerhalb von zwei Stunden nach dem Eindringen in den Behördenserver Passworthashes und MFA-Geheimnisse.
- Notfall-Sicherheitsupdates für die PHP2Shell-Schwachstellen wurden am 21. Oktober veröffentlicht.
- Palo Alto Networks zählte bis zu 22,6 Millionen Systeme im Internet, die potenziell von der Schwachstelle betroffen sein könnten.
- Der Eindringling baute einen Tunnel zu Microsoft Active Directory auf und versuchte, weitreichende Domänen-Administratorrechte zu erlangen.
- Palo Alto Networks kündigte Softwarekorrekturen für die eigenen Systeme für den Zeitraum vom 26. bis 30. Oktober an.
Aus dem Tagebuch des Redakteurs
Das Einspielen eines neuen Sicherheitsupdates schließt lediglich die Eingangstür; haben Angreifer diese Schwelle bereits überschritten, müssen Administratoren ihre internen Netze aktiv durchforsten, um bestehende Zugänge aufzuspüren.
Wer beteiligt ist
Palo Alto Networks Unit 42
Forschungseinheit des US-amerikanischen Cybersicherheitsunternehmens, die den Vorfall dokumentierte
will → IT-Verantwortliche warnen, Sicherheitsleitfäden veröffentlichen und Angriffsmuster analysieren
Nicht identifizierte PHP2Shell-Angreifer
Unbekannte Gruppe, die den Behördenserver kompromittierte und tiefere Netzwerkkontrolle anstrebte
will → Dauerhaften Zugriff auf die Systeme sichern, Anmeldedaten erbeuten und administrative Höchstrechte erlangen
Produktsicherheitsteam von Palo Alto Networks
Entwicklergruppe zur Überprüfung der Softwaresicherheit in den eigenen kommerziellen Produkten
will → Kundensysteme schützen, Erkennungsmuster aktualisieren und Softwarekorrekturen bereitstellen
PHP-Entwicklerteam
Globale Gemeinschaft zur Pflege der Open-Source-Programmiersprache
will → Sicherheitsupdates veröffentlichen, um Schwachstellen auf Webservern zu schließen
CrowdStrike Counter Adversary Operations
Unabhängige US-amerikanische Forschungsgruppe zur Analyse von Bedrohungen
will → Funktion und Zuverlässigkeit öffentlich zirkulierender Angriffswerkzeuge in realen Systemen bewerten
Google Mandiant
Forensikeinheit von Google zur Untersuchung konkreter Cyberangriffe
will → Durchschlagskraft von Exploit-Werkzeugen messen und das Ausmaß von Massenangriffen prüfen
Ungenannte europäische Regierungsbehörde
Öffentliche Einrichtung in Europa, deren Computersysteme mutmaßlich kompromittiert wurden
will → Interne Netzwerke, Benutzerkonten der Beschäftigten und Behördenabläufe absichern
Kurz gefasst
Eine schwere Softwareschwachstelle hat sich von einer theoretischen Gefahr zu einem realen Angriff auf Regierungsnetze entwickelt. Angreifer nutzten neu entdeckte Fehler in PHP, einer weit verbreiteten Skriptsprache für Webserver, um in die Systeme einer nicht genannten europäischen Behörde einzudringen. Binnen zwei Stunden stießen sie bis in interne Identitätsverwaltungssysteme vor. Dieser Übergang von einer öffentlich erreichbaren Website in zentrale Verwaltungsnetze zeigt, dass betroffenen Organisationen weitaus größere Gefahren drohen als bloße Verunstaltungen ihrer Webauftritte.
Systemadministratoren weltweit stehen nun vor der Aufgabe, ihre internen Netzwerke auf bereits gesetzte Hintertüren zu untersuchen, statt sich allein auf das Einspielen von Softwarekorrekturen zu verlassen.
Diese umfassende Überprüfung gilt als unausweichlich, weil das Schließen der Lücke zwar neue Zugriffe blockiert, bereits erbeutete Zugangsdaten oder bestehende Verbindungen der Angreifer jedoch nicht ungültig macht.
Gemeldet von: Europa-heute-Barometer · 26. Oktober 2026
Die Vorgeschichte
Niederländische Behörden geben Entwarnung nach Alarm um Web-Schwachstellen
24. Oktober 2026Nach Berichten über angebliche Hackerangriffe auf weit verbreitete Websoftware finden Ermittler keine Belege für erfolgreiche Systemübernahmen.
Sicherheitslücke bedroht Millionen Webseiten, Ausmaß der Schäden unklar
23. Oktober 2026Weltweit läuft eine beispiellose Reparaturwelle im Netz, doch Befürchtungen über historische Schäden haben sich bislang nicht bestätigt.
Wie es sich entwickelte
Unit 42 meldet Einbruch in Regierungsnetzwerk
Aus ersten Warnungen ist Gewissheit über einen konkreten Vorfall geworden. Noch am 22. Oktober hatten neun führende Cybersicherheitsfirmen gegenüber NBC News erklärt, ihnen lägen keine Nachweise über erfolgreiche Angriffe über die neuen PHP-Schwachstellen vor. Am Folgetag passte Palo Alto Networks seinen Sicherheitsbericht um 19:30 Uhr UTC an und meldete einen erfolgreichen Einbruch bei einer europäischen Behörde. Den Namen der betroffenen Institution sowie das genaue Datum des Angriffs nannte das Unternehmen nicht.
Vom Webserver zur behördlichen Identitätsinfrastruktur
Der Angriff weitete sich nach dem Überwinden der öffentlich erreichbaren Webseite rasant aus. Während Webauftritte an der äußeren Peripherie eines Netzwerks liegen, verwalten Verzeichnisdienste die Anmeldedaten und sensiblen Dokumente der Beschäftigten. Innerhalb von zwei Stunden verschafften sich die Eindringlinge Zugang zu Passworthashes und Codes für die Zwei-Faktor-Authentifizierung. Anschließend richteten sie einen Netzwerktunnel zu Microsoft Active Directory ein, um Domänen-Administratorrechte zu erlangen. Die Angreifer strebten damit die vollständige Kontrolle über das Netzwerk an; ob ihnen dieser Schritt gelang, teilten die Sicherheitsforscher nicht mit.
Hinweise auf softwaregestützte Angriffsmethoden
Die Ermittler stellten Auffälligkeiten fest, die auf den Einsatz automatisierter Softwareassistenten hindeuten. Der Angreifer schleuste Befehlsketten ein, die mit maschinenlesbaren Markierungen versehen waren, arbeitete kurze Arbeitsschritte ab und wechselte nach fehlgeschlagenen Befehlen unmittelbar die Taktik. Diese Merkmale sprechen dafür, dass Werkzeuge auf Basis künstlicher Intelligenz an dem Angriff beteiligt gewesen sein könnten, belegen jedoch kein rein autonomes Handeln von Schadsoftware. Menschliche Programmierer und herkömmliche Skripte verwenden oft vergleichbare Strukturen, und ein spezifisches KI-Modell wurde im Bericht nicht genannt. Andere Sicherheitsunternehmen, darunter CrowdStrike und Google Mandiant, stellten zudem fest, dass viele öffentlich kursierende Angriffsroutinen fehlerhaft waren und keine weitreichenden Schäden anrichteten.
Spurensuche im Netzwerk bei verschärften Abwehrmaßnahmen
Parallel zum Untersuchungsbericht stellte Unit 42 Anleitungen bereit, mit denen IT-Verantwortliche ihre Netzwerke gezielt auf Eindringlinge überprüfen können. Ein Leitfaden dient dazu, auffällige Befehle aufzuspüren, die von Webserverprozessen ausgehen; ein weiterer analysiert den Firewall-Datenverkehr auf bekannte Angriffsmuster. Das Unternehmen betonte, dass Sicherheitsupdates zwar die Eintrittspforte schließen, erbeutete Zugangsdaten oder zuvor eingerichtete Hintertüren dadurch jedoch nicht beseitigt werden. Palo Alto Networks aktualisierte am 23. und 24. Oktober zudem eigene Produkthinweise und kündigte Korrekturen für seine Firewalls an. Das Unternehmen betonte zugleich, dass die eigenen Produkte nicht Ziel böswilliger Angriffe geworden seien.
Wo die Dinge stehen
Die Veröffentlichung von Unit 42 liefert den bisher einzigen technischen Beleg für einen erfolgreichen PHP2Shell-Einbruch in ein aktives System der öffentlichen Verwaltung. Während Branchenberichte zuvor vor allem von fehlerhaften Angriffsversuchen und harmlosen Systemabstürzen sprachen, belegt diese Untersuchung, dass ein Angreifer von einer externen Webanwendung bis in zentrale Identitätssysteme vordringen konnte.
Wesentliche Fragen bleiben ungeklärt. Weder wurde die betroffene Behörde namentlich genannt, noch liegt eine offizielle Bestätigung staatlicher Stellen vor. Offen ist zudem, wann der Angriff begann, ob entwendete Passwörter das Behördennetzwerk verließen und ob der Versuch gelang, die vollständige Kontrolle über die Domänenadministration zu übernehmen.