--- title: "Schwachstellen automatisch beheben: Was AWS Continuum nach PHP2Shell leistet" description: "Schwachstellen automatisch beheben: Was AWS Continuum seit dem GA kann, was es kostet und wo die Grenzen liegen. Jetzt lesen und Ihr Patch-Konzept prüfen." image: https://dmoove.com/hubfs/blog/agent-images/schwachstellen-automatisch-beheben-aws-c-featured-050101.png --- [Zum Inhalt springen](https://dmoove.com/blog/schwachstellen-automatisch-beheben-aws-continuum#main-content) [![DMoove](https://dmoove.com/hubfs/raw_assets/public/dmoove-2026/images/logo.svg)](https://dmoove.com/) Menü - Leistungen - [AWS Landing Zone](https://dmoove.com/aws-landing-zone) - [Kubernetes auf AWS](https://dmoove.com/kubernetes-auf-aws) - [European Sovereign Cloud](https://dmoove.com/european-sovereign-cloud) - [Amazon Quick & KI](https://dmoove.com/amazon-quick-ki) - [Migration & DevOps](https://dmoove.com/migration-devops) - Lösungen - [GuardAudit](https://dmoove.com/dmoove-guardaudit) - [Cloud Kosten optimieren](https://dmoove.com/cloud-kosten-optimieren) - [EC2 Image Builder](https://dmoove.com/ec2-image-builder) - [Case Study](https://dmoove.com/case-study-kubernetes-cluster) - [Über uns](https://dmoove.com/ueber-uns) - [Blog](https://dmoove.com/blog) [Termin buchen](https://dmoove.com/meetings/yannick-tresch) 1. [Blog](https://dmoove.com/blog) 2. [Cloud Computing](https://dmoove.com/blog/tag/cloud-computing) Cloud Computing # Schwachstellen automatisch beheben: Was AWS Continuum nach PHP2Shell leistet [Yannick Tresch](https://dmoove.com/blog/author/yannick-tresch) 27\. Oktober 2026 · Min. Lesezeit ![Förderband mit vielen Warnmarken, von denen ein Sortiertor nur eine orangefarbene durchlässt, die ein Roboterarm mit einem Flicken repariert.](https://dmoove.com/hs-fs/hubfs/blog/agent-images/schwachstellen-automatisch-beheben-aws-c-featured-050101.png?width=1200&height=750&name=schwachstellen-automatisch-beheben-aws-c-featured-050101.png) Am 17. Oktober 2026 versuchte jemand, eine PHP-Lücke auszunutzen, die erst vier Tage später öffentlich bekannt wurde. Amazon Threat Intelligence sah den Versuch in der Telemetrie des eigenen MadPot-Honeypots. Einen Tag nach der Offenlegung stellte AWS mit Continuum einen Dienst vor, der Schwachstellen automatisch beheben soll. Der Zeitpunkt ist kein Zufall und für Ihr Patch-Konzept ist die Frage berechtigt, ob das eine Antwort auf das Problem ist. Dieser Artikel ordnet ein, was Continuum nach AWS' eigenen Angaben tut, was es kostet und wo die Grenzen liegen. ## Vier Tage vor der Veröffentlichung: Das Patch-Fenster schrumpft Die Details stehen im [Blogpost von Amazon Threat Intelligence](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/): Der Versuch stammte von einer IP-Adresse eines kommerziellen Anonymisierungsnetzes. Wie der Akteur vorab an Exploit-Informationen kam, ist laut AWS unklar. Am Tag der Freigabe tauchten Proof-of-Concept-Exploits auf, der früheste gegen 02:00 UTC, also rund zwölf Stunden vor dem Ende der Embargofrist um 14:00 UTC. Ob die Versuche in realen Systemen erfolgreich gewesen wären, war zum Zeitpunkt der Veröffentlichung offen. ![Kalenderblatt mit einer roten Fahne vier Tage vor einem versiegelten Umschlag, daneben ein leuchtendes Honigtopf-Glas als Sinnbild für ein Honeypot.](https://dmoove.com/hubfs/blog/agent-images/schwachstellen-automatisch-beheben-aws-c-inline-050102.png) AWS empfiehlt deshalb, bei der Suche nach Angriffsspuren weiter zurückzublicken: Entscheidend ist der früheste bekannte Angriffsversuch, nicht der Tag, an dem die Schwachstelle öffentlich wurde. Zudem sollte die Angriffserkennung auch ohne ein speziell für diese Lücke bekanntes Erkennungsmuster funktionieren. Der Vorfall allein zeigt noch nicht, wie häufig solche frühen Angriffe vorkommen. Er passt jedoch zu einer Beobachtung von Google Cloud Security aus der zweiten Jahreshälfte 2025: Zwischen der Veröffentlichung einer Schwachstelle und den ersten Angriffen liegen oft nur noch wenige Tage statt mehrerer Wochen. Für Teams mit einem monatlichen Patch-Zyklus heißt das: Der Zyklus selbst ist selten das Problem. Zeit kostet die Strecke davor, nämlich festzustellen, ob eine Meldung Sie überhaupt betrifft, und die Strecke danach, den Fix mit Entwicklung und Betrieb abzustimmen. ## Schwachstellen automatisch beheben: Was AWS Continuum tut Seit dem 22. Oktober 2026 ist [AWS Continuum for code vulnerabilities allgemein verfügbar](https://aws.amazon.com/blogs/aws/aws-continuum-for-code-vulnerabilities-is-now-generally-available/). Nach AWS-Beschreibung findet und validiert der Dienst Schwachstellen im Code und liefert Korrekturen als Patches oder als Pull Requests in Ihre Repositories. Der Kern ist ein Kontextgraph. Er entsteht aus Ihren Code-Repositories und Ihrer AWS-Umgebung: Dafür richten Sie in dem Account und der Region, in der Ihr Code läuft, einen Collector ein. Dieser sammelt Ressourcendetails wie AWS-Config-Ressourcen und Netzwerkkonfiguration. Continuum beurteilt damit, ob eine Lücke über das Netzwerk erreichbar ist und was ein Angreifer von dort aus erreichen könnte. Einen Fund, der laut Scanner „kritisch" ist, aber nur ein Hilfsprogramm in der Entwicklungsumgebung betrifft, stuft der Dienst dadurch anders ein als einen mittleren Fund in einem Service direkt vor einer Zahlungsdatenbank. Dieses Beispiel nennt AWS selbst. Aus Sicht der Praxis sind drei Eigenschaften relevant: - Exploitability wird geprüft: Laut [AWS-Ankündigung](https://aws.amazon.com/about-aws/whats-new/2026/10/aws-continuum-for-code-vulnerabilities-is-now-generally-available) testet Continuum Funde in einer isolierten Sandbox und hängt den Nachweis sowie eine Bewertung des Blast Radius an den Pull Request. - Menschen bleiben im Loop: Jede Behebung beginnt im Modus, in dem Continuum einen Fix vorschlägt und eine Person ihn freigibt. Ein Enforce-Modus, in dem der Dienst innerhalb Ihrer Leitplanken selbst handelt, ist in der Ankündigung als späterer Schritt beschrieben. - Bestehende Funde fließen ein: Continuum übernimmt Ergebnisse Ihrer vorhandenen Scanner und ergänzt sie um eigene Scans. Zur Qualität nennt AWS einen Benchmark: Im öffentlichen Test CyberGym-E2E habe Continuum 819 von 920 Aufgaben gelöst, eine Erfolgsquote von 89,0 Prozent. Beachten Sie dabei, dass diese Zahl [vom Hersteller selbst veröffentlicht](https://aws.amazon.com/blogs/security/aws-continuum-sets-a-new-standard-in-autonomous-code-security/) wurde und Code-Aufgaben ohne Deployment-Kontext misst. Wie gut der Dienst in Ihrer gewachsenen Codebasis abschneidet, sagt sie nicht. ## Kosten und Verfügbarkeit: Was die Ankündigung offenlässt Die [Preisseite](https://aws.amazon.com/continuum/pricing/) beschreibt ein Pay-as-you-go-Modell ohne Mindestgebühr mit zwei Dimensionen: einer monatlichen Kontextgebühr, die sich an den geschützten Codezeilen orientiert, und einer nutzungsabhängigen Inferenzgebühr für die geleistete Sicherheitsarbeit. Die Kosten wachsen also mit der Größe der Codebasis und mit der Zahl der Funde. Eine belastbare Gesamtsumme für Ihre Umgebung lässt sich aus der Seite nicht ableiten; rechnen Sie mit Ihren echten Zeilen und Ihrem Fundvolumen im Pilot nach. Für Unternehmen im DACH-Raum zählt ein weiterer Punkt: Zum Start ist Continuum nur in US East (N. Virginia) und US West (Oregon) verfügbar. Ein Dienst, der Ihren Quellcode und Konfigurationsdaten Ihrer AWS-Ressourcen auswertet, gehört damit vor einem Einsatz zu Datenschutz und Compliance. Welche Daten genau in welcher Region verarbeitet werden, sollten Sie in der Dokumentation prüfen. Das konnten wir hier nicht abschließend verifizieren. ## Was Continuum nicht ersetzt Continuum arbeitet an Code-Schwachstellen. Der PHP2Shell-Fall betrifft dagegen eine Laufzeitumgebung, die Sie selbst gar nicht programmiert haben. Dort helfen weiterhin schnelle Notmaßnahmen wie WAF-Regeln, eine Inventur, wo PHP in welcher Version läuft, und Erkennung ohne CVE-Signatur. AWS hat zu den beiden CVEs eigene WAF-Mitigations veröffentlicht. Auch die Basis bleibt Ihre Aufgabe. Ein Kontextgraph ist nur so gut wie die Daten, die er sieht: Teams mit unklaren Besitzverhältnissen, fehlenden Tags oder wuchernden Accounts bekommen auch von einem KI-Werkzeug eine unklare Priorisierung. Eine saubere Account-Struktur, wie sie eine Landing Zone vorgibt, ist deshalb Voraussetzung und kein Nebenthema. Verwandte Fragen behandeln wir in unseren Beiträgen zu [Cloud-Fehlkonfigurationen als Ursache von Breaches](https://dmoove.com/blog/cloud-misconfiguration-breaches-2026) und zum [AWS Well-Architected Agent](https://dmoove.com/blog/aws-well-architected-agent-cloud-optimierung), der ebenfalls kontinuierliche Empfehlungen statt jährlicher Reviews verspricht. Wer EKS betreibt, kennt das Muster von der anderen Seite: Bei [CVE-2026-86831](https://dmoove.com/blog/eks-network-policy-sicherheitsluecke-cve-2026-86831) entschied die Frage, ob Sie betroffen sind, über die Dringlichkeit, nicht der Schweregrad allein. Genau diese Entscheidung soll Continuum beschleunigen. ## Nächste Schritte: Ein Pilot mit klarer Messgröße Bevor Sie über Enforce-Modus oder Budget nachdenken, lohnt sich ein begrenzter Test. Folgende Reihenfolge hat sich für solche Vorhaben bewährt: - Datenschutz klären: Prüfen Sie mit Ihrem Datenschutzbeauftragten, ob Quellcode und AWS-Konfigurationsdaten in den US-Regionen verarbeitet werden dürfen. - Einen Service wählen: Nehmen Sie ein Repository mit bekanntem Fund-Backlog und klarem Besitzer, kein Kernsystem. - Vorher messen: Halten Sie fest, wie lange Ihr Team heute von Fund bis freigegebenem Fix braucht. Nur dann können Sie nach dem Pilot sagen, ob sich etwas verbessert hat. - Im Vorschlagsmodus bleiben: Bewerten Sie, wie viele der Pull Requests Ihr Team ohne Nacharbeit übernommen hätte. - Notfallpfad getrennt halten: Legen Sie unabhängig davon fest, was bei einer aktiv ausgenutzten Lücke innerhalb von Stunden passiert, etwa WAF-Regel, Isolation, Inventur. Wenn Sie dafür einen Zweitblick auf Account-Struktur, Berechtigungen und Priorisierung wünschen, unterstützt DMoove Sie dabei, die Voraussetzungen zu schaffen, bevor ein Werkzeug darauf aufsetzt. Yannick Tresch In diesem Artikel Fragen zu Ihrer Plattform? 30 Minuten, direkt mit dem Gründer. [Termin buchen](https://dmoove.com/meetings/yannick-tresch) Weiterlesen ## Weitere Artikel. - ### [![Uhr kurz vor Mitternacht auf einem Server-Rack – symbolisiert das bevorstehende Kubernetes 1.34 End of Life auf EKS](https://dmoove.com/hs-fs/hubfs/blog/agent-images/kubernetes-1-34-end-of-life-eks-featured-040109.png?width=800&height=500&name=kubernetes-1-34-end-of-life-eks-featured-040109.png) Cloud Computing Kubernetes 1.34 End of Life: Was EKS-Teams jetzt tun müssen – bevor AWS die Kontrolle übernimmt 26\. Oktober 2026 · Min. Lesezeit](https://dmoove.com/blog/kubernetes-1-34-end-of-life-eks) - ### [![Schematische Darstellung eines kontinuierlichen Cloud-Analyse-Kreislaufs mit vernetzten Knoten und Dokumenten-Icons – symbolisiert den AWS Well-Architected Agent](https://dmoove.com/hs-fs/hubfs/blog/agent-images/aws-well-architected-agent-preview-featured-040119.png?width=800&height=500&name=aws-well-architected-agent-preview-featured-040119.png) Cloud Computing AWS Well-Architected Agent: Kontinuierliche Cloud-Optimierung statt jährlichem Review 24\. Oktober 2026 · Min. Lesezeit](https://dmoove.com/blog/aws-well-architected-agent-cloud-optimierung) - ### [![Serverrack mit geöffnetem Einschub, aus dem ein Netz gleichzeitiger HTTP-Verbindungen strömt – symbolisch für Lambda Web Functions und Multi-Concurrency](https://dmoove.com/hs-fs/hubfs/blog/agent-images/lambda-web-functions-serverless-http-featured-040109.png?width=800&height=500&name=lambda-web-functions-serverless-http-featured-040109.png) Cloud Computing Lambda Web Functions: AWS startet einen neuen Serverless-Typ für HTTP-Workloads 15\. Oktober 2026 · Min. Lesezeit](https://dmoove.com/blog/lambda-web-functions-serverless-http) ![DMoove](https://dmoove.com/hubfs/raw_assets/public/dmoove-2026/images/logo-white.svg) DMoove Solutions GmbH Damaschkestraße 23 10711 Berlin Leistungen - [AWS Landing Zone](https://dmoove.com/aws-landing-zone) - [Kubernetes auf AWS](https://dmoove.com/kubernetes-auf-aws) - [European Sovereign Cloud](https://dmoove.com/european-sovereign-cloud) - [Amazon Quick & KI](https://dmoove.com/de/amazon-quick-ai-essentials) - [Migration & DevOps](https://dmoove.com/migration-devops) Unternehmen - [Über uns](https://dmoove.com/ueber-uns) - [Blog](https://dmoove.com/blog) - [Termin buchen](https://dmoove.com/meetings/yannick-tresch) - [LinkedIn](https://www.linkedin.com/company/dmoove) Rechtliches - [Impressum](https://dmoove.com/impressum) - [Datenschutz](https://dmoove.com/datenschutz) © 2026 DMoove Solutions GmbH ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Yannick Tresch", "url" : "https://dmoove.com/blog/author/yannick-tresch" }, "dateModified" : "2026-10-27T10:08:27.346Z", "datePublished" : "2026-10-27T10:08:27.000Z", "headline" : "Schwachstellen automatisch beheben: Was AWS Continuum nach PHP2Shell leistet", "image" : [ "https://dmoove.com/hubfs/blog/agent-images/schwachstellen-automatisch-beheben-aws-c-featured-050101.png" ], "mainEntityOfPage" : { "@id" : "https://dmoove.com/blog/schwachstellen-automatisch-beheben-aws-continuum", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://dmoove.com/hubfs/dmo_logo450.png" }, "name" : "DMoove Solutions GmbH" } } ``` ```json { "@context" : "https://schema.org", "@type" : "BreadcrumbList", "itemListElement" : [ { "@type" : "ListItem", "item" : "https://dmoove.com/blog", "name" : "Blog", "position" : 1 }, { "@type" : "ListItem", "item" : "https://dmoove.com/blog/tag/cloud-computing", "name" : "Cloud Computing", "position" : 2 }, { "@type" : "ListItem", "item" : "https://dmoove.com/blog/schwachstellen-automatisch-beheben-aws-continuum", "name" : "Schwachstellen automatisch beheben: Was AWS Continuum nach PHP2Shell leistet", "position" : 3 } ] } ```