Două vulnerabilități critice PHP, CVE-2026-109618 și CVE-2026-109619, urmărite împreună sub numele PHP2Shell, au fost exploatate cu succes în mediul real. Dovezile tehnice surprinse de honeypoturile unui cercetător confirmă executarea de cod de la distanță pe un server Apache cu mod_php și PHP 8.4.26.
Honeypoturile au surprins cod executat la milisecunde după cerere
Adel Karimi, responsabil de detecție și răspuns la Perplexity, a documentat atacul. Potrivit acestuia, răspunsul serverului a inclus un dump decodat de cookie-uri de 800 KiB, din care atacatorul a putut obține o adresă de funcție; aceasta a fost folosită ulterior în payload-ul de execuție, cu offset-uri din exploitul public.
Karimi a precizat că nu a fost vorba doar despre o cădere a procesului urmată de apariția suspectă a unui proces. Clientul a confirmat primirea răspunsului complet, iar comanda shell a rulat la aproximativ 1,6 milisecunde după ultimul octet capturat al cererii de execuție.
Marcus Hutchins, cercetător la Expel, a confirmat constatările și le-a descris drept cea mai solidă dovadă de până acum privind exploatarea PHP2Shell în mediul real. El a subliniat că analiza detaliată privește o tentativă reușită împotriva unei instalări Apache mod_php cu PHP 8.4.26.
Patch-urile au venit după zile de scanări și încercări nereușite
Echipa PHP a publicat remedierile pentru PHP2Shell miercuri, 21 octombrie, la o zi după ce le ceruse administratorilor să fie pregătiți să instaleze actualizările imediat ce devin disponibile. Înainte de publicarea patch-urilor, detalii despre vulnerabilități, identificatorii CVE și recomandări transmise unor operatori de infrastructură critică ajunseseră online.
Au apărut și exploituri demonstrative, însă echipa PHP a spus că niciunul nu era funcțional. Cloudflare, Hadrian, watchTowr, Previdian și Patchstack au observat tentative înainte de divulgarea publică, dar le-au clasificat drept nereușite.
Amazon Threat Intelligence a identificat atacatori care vizau vulnerabilitățile cu patru zile înainte de lansarea patch-urilor. Până la dovezile lui Karimi, activitatea cunoscută consta în scanare, identificarea configurațiilor și folosirea unor exploituri nefuncționale, fără compromiteri confirmate, potrivit echipei TRACE a Dataminr.
O nouă vulnerabilitate PHP complică răspunsul administratorilor
Vineri, echipa PHP a publicat măsuri de mitigare pentru o altă vulnerabilitate de execuție de cod de la distanță, CVE-2026-115560, care nu are încă patch. Exploatarea este posibilă doar în sisteme cu o combinație neobișnuită de configurare și cod al aplicației, ceea ce limitează condițiile de atac, dar nu elimină necesitatea verificării.
Până la apariția unei remedieri, dezvoltatorii PHP recomandă setarea session.upload_progress.enabled=0 pentru a bloca posibilele atacuri. Aceeași măsură fusese recomandată administratorilor și înainte ca patch-urile PHP2Shell să fie publicate, astfel că echipele tehnice ar trebui să verifice atât actualizările, cât și configurarea sesiunilor.
Expunerea PHP face din patch-uri o prioritate și în România
PHP este folosit pentru dezvoltarea web de aproximativ 70% dintre site-urile internetului. Estimări recente VirusTotal indică peste 5,1 milioane de gazde PHP expuse online, dintre care aproximativ 3,8 milioane au cel puțin un port deschis către atacuri; amploarea face plauzibilă expunerea serviciilor din companii și instituții europene, fără a demonstra că acestea au fost compromise.
Pentru organizațiile din România și UE, prioritatea este identificarea serverelor Apache care rulează PHP, aplicarea versiunilor corectate și verificarea jurnalelor pentru cereri suspecte și procese shell pornite de serverul web. Sistemele care nu pot fi actualizate imediat ar trebui să aplice măsura de mitigare recomandată și să limiteze expunerea serviciilor, apoi să investigheze orice semn de execuție neautorizată.
