Badacz Adel Karimi z firmy Perplexity zarejestrował na swoich pułapkach sieciowych dowody na udane zdalne wykonanie kodu (RCE) połączone z ujawnieniem pamięci operacyjnej. Atak wykryto na serwerze Apache z modułem mod_php w wersji PHP 8.4.26. Wynikiem udanego przełamania zabezpieczeń było przekazanie zdekodowanego zrzutu ciasteczek o rozmiarze 800 KiB oraz wykorzystanie adresu funkcji wyciągniętego z tego zrzutu w kolejnym ładunku wykonawczym.
Ustalenia te potwierdził analityk zagrożeń Marcus Hutchins z firmy Expel. Karimi zaznaczył jednak, że dowód przeprowadzenia ataku uzyskano na celowo podatnym profilu mod_php z jednym procesem roboczym (single-worker profile). Nie stanowi to bezpośredniej miary niezawodności eksploitu w przypadku innych konfiguracji procesów, kompilacji PHP czy aplikacji.
Skanowanie przed publikacją poprawek
Zagrożenia określane wspólnie jako PHP2Shell obejmują dwie krytyczne luki bezpieczeństwa: CVE-2026-109618 oraz CVE-2026-109619. Zespół PHP opublikował oficjalne łatki zabezpieczające w środę, 21 października. Przed wydaniem poprawek doszło do wycieku szczegółów technicznych oraz publikacji niedziałających kodów koncepcyjnych (PoC).
Firma Amazon Threat Intelligence wykryła próby celowania w luki PHP2Shell na cztery dni przed wydaniem oficjalnych łatek. Przed przedstawieniem dowodów przez Perplexity, incydenty rejestrowane przez firmy takie jak Cloudflare, Hadrian, watchTowr, Previdian oraz Patchstack sprowadzały się wyłącznie do skanowania, identyfikacji wersji systemów oraz używania nieskutecznych eksploitów. Agencja CISA udostępniła regułę detekcyjną SIGMA do wykrywania prób ataku.
Nowa podatność bez poprawki i zalecane obejście
Równolegle ujawniono informacje o nowej podatności RCE oznaczonej jako CVE-2026-115560, dla której nie przygotowano jeszcze oficjalnej łatki. Według zespołu PHP luka ta może zostać wykorzystana jedynie w systemach ze specyficzną, rzadko spotykaną kombinacją konfiguracji oraz kodu aplikacji.
Do czasu wydania aktualizacji programiści PHP zalecają wyłączenie śledzenia postępu przesyłania plików w konfiguracji. Aby zablokować potencjalne próby ataku, należy ustawić parametr session.upload_progress.enabled=0 w pliku konfiguracyjnym php.ini.
Skala potencjalnego zagrożenia wynika z popularności języka PHP, który według szacunków VirusTotal zasila około 70% wszystkich stron internetowych. W sieci zidentyfikowano ponad 5,1 miliona hostów PHP, z czego około 3,8 miliona posiada co najmniej jeden otwarty port narażony na próby ataku.
