Amerykańska Agencja ds. Cyberbezpieczeństwa i Infrastruktury (CISA) dodała dwie luki w PHP2Shell do swojego katalogu KEV. Zagrożenia pozwalają na zdalne wykonanie kodu bez uwierzytelnienia i uzyskały ocenę 9,2 w skali CVSS.
Agencja potwierdziła aktywne wykorzystywanie w atakach dwóch niedawno załatanych luk w PHP2Shell.
Omawiane usterki zostały ocenione na 9,2 w skali CVSS. Umożliwiają nieuwierzytelnionym użytkownikom zdalne wykonanie kodu (RCE) w podatnych środowiskach. Wśród zgłoszonych problemów znajduje się między innymi luka identyfikowana jako CVE-2026-109618, związana z błędem wyczerpania pamięci (out-of-memory).
Opracowanie na podstawie: The Hacker News (streszczenie: The Hacker News)
Analitycy potwierdzili pierwsze udane ataki RCE wykorzystujące luki PHP2Shell. Wykryto wyciek pamięci, a dla kolejnej podatności wydano zalecenie obejścia.
Zespół PHP opublikował instrukcje zabezpieczenia serwerów przed luką CVE-2026-115560. Trwają też ataki na podatności z grupy PHP2Shell.
W PHP wykryto kolejną podatność CVE-2026-115560 pozwalającą na zdalne wykonanie kodu. Problem dotyczy nietypowych konfiguracji.
GitLab wydał pilne aktualizacje bezpieczeństwa usuwające lukę najwyższej wagi o numerze CVE-2026-110264.
Jeśli wolisz nie grzebać w tym samodzielnie, chętnie pomogę. Robię to od 14 lat.
Zobacz, jak mogę pomóc →