Amazon Threat Intelligence afirmă că atacatorii au început să vizeze vulnerabilitățile PHP2Shell pe 17 octombrie, cu patru zile înainte de publicarea patch-urilor. Cele două defecte critice pot permite execuție de cod de la distanță, iar amploarea atacurilor reușite nu este încă stabilită.
Identificate drept CVE-2026-109618 și CVE-2026-109619, vulnerabilitățile au fost remediate de echipa PHP pe 21 octombrie. Dezvoltatoarea PHP Gina Peter Banyard avertizase că aplicarea patch-urilor oficiale este singura protecție permanentă; NCSC din Marea Britanie le-a cerut organizațiilor să actualizeze imediat serverele sau să le scoată temporar din rețea.
Dezvăluirea coordonată a fost accelerată după scurgerea unor detalii
Planul echipei PHP a început să se schimbe cu două zile înainte de dezvăluirea coordonată. După ce au apărut online unele informații despre defecte, inclusiv identificatorii CVE și recomandări de mitigare transmise unor operatori de infrastructură critică, echipa a devansat calendarul lansării începând cu 20 octombrie.
Înaintea patch-urilor au fost publicate și câteva exploit-uri de tip proof of concept, însă echipa PHP a spus că niciunul nu era funcțional. Între timp, Cloudflare, watchTowr, Previdian, Hadrian și Patchstack raportaseră încercări de exploatare nereușite înainte de dezvăluirea publică.
Amazon a observat primele încercări pe 17 octombrie, iar la câteva ore după dezvăluire au apărut mai multe exploit-uri PHP2Shell, lansate de la adrese IP asociate unor servicii VPN. Intervalul confirmă că administratorii nu pot presupune că atacurile încep abia când vulnerabilitatea devine publică.
Urmele indică mai mulți atacatori, dar succesul lor rămâne neclar
CJ Moses, directorul pentru securitatea informațiilor al AWS, a declarat că o tentativă observată asupra unui honeypot a venit de la o adresă IP asociată unei rețele comerciale de anonimizare. Faptul că sistemul-capcană a fost vizat cât timp vulnerabilitatea era sub embargo sugerează activitate ostilă, dar Amazon nu știe cum au obținut atacatorii informațiile.
Potrivit lui Moses, încărcăturile malițioase și infrastructura de anonimizare au variat, ceea ce sugerează implicarea mai multor actori. Analiza tehnică este în desfășurare, iar compania nu poate spune dacă tentativele ar fi reușit împotriva unor sisteme reale.
Moses avertizează că PHP2Shell este exploatat pe scară largă în mediul real, fără ca numărul atacurilor reușite să fie cunoscut. PHP, limbaj folosit pentru dezvoltarea web, susține până la 80% dintre site-urile internetului, inclusiv proiecte bazate pe WordPress, Drupal și Joomla; VirusTotal urmărește peste 5,1 milioane de gazde PHP expuse, dintre care aproximativ 3,8 milioane au cel puțin un port deschis atacurilor.
Organizațiile din România și UE trebuie să verifice expunerea, nu doar calendarul
Pentru companiile și instituțiile din România, riscul concret depinde de versiunea PHP instalată și de expunerea serverelor, nu doar de folosirea unui CMS popular. Echipele IT ar trebui să inventarieze serviciile PHP accesibile din internet, să aplice actualizările oficiale și să verifice jurnalele pentru activitate neobișnuită, fără a considera lipsa alertelor drept dovadă că sistemul este sigur.
Dacă actualizarea nu poate fi făcută imediat, reducerea temporară a expunerii este esențială: limitarea accesului la servere și, când nu există o alternativă sigură, scoaterea lor din rețea. Recomandarea NCSC britanic este adresată organizațiilor din Regatul Unit, dar principiul de precauție este relevant și pentru operatorii europeni care administrează sisteme PHP vulnerabile.
Un indicator general de apărare nu trebuie confundat cu protecția împotriva PHP2Shell: Blue Report 2026 a evaluat 338 de milioane de simulări în medii de producție ale clienților și a constatat că, după folosirea unor credențiale valide, sunt blocate doar 37% dintre acțiunile atacatorilor. Rezultatul nu măsoară aceste vulnerabilități, dar arată de ce patch-urile, monitorizarea și limitarea accesului trebuie aplicate împreună.
