Amerykańska Agencja Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) wpisała do katalogu Known Exploited Vulnerabilities dwie luki oznaczone jako CVE-2026-109618 i CVE-2026-109619. Osoby atakujące, które nie mają uprzywilejowanego dostępu, mogą wykorzystać je w atakach o wysokiej złożoności, aby zdalnie wykonywać kod na systemach bez poprawek.
Zespół bezpieczeństwa PHP załatał obie podatności w środę 21 października, dzień po wezwaniu administratorów do instalacji aktualizacji bezpieczeństwa natychmiast po ich udostępnieniu. Przed publikacją poprawek wyciekły szczegóły PHP2Shell, w tym identyfikatory CVE i środki zaradcze przekazane dostawcom infrastruktury krytycznej. W internecie pojawiły się również eksploity typu proof-of-concept, jednak według zespołu PHP żaden z nich nie był funkcjonalny.
Wiele firm zajmujących się cyberbezpieczeństwem, w tym Cloudflare, Amazon, Hadrian, watchTowr, Previdian i Patchstack, wykryło przed publicznym ujawnieniem luk szeroko zakrojone próby ich wykorzystania. Wszystkie oceniły jednak, że próby te nie powiodły się. Badacze Amazon Threat Intelligence stwierdzili ponadto, że atakujący zaczęli celować w PHP2Shell cztery dni przed wydaniem poprawek.
CISA dodała podatności do katalogu KEV w poniedziałek i na mocy dyrektywy Binding Operational Directive 26-04 nakazała agencjom Federal Civilian Executive Branch zabezpieczenie systemów do czwartku. Agencja ostrzegła, że tego rodzaju luki są częstym wektorem ataków i stwarzają znaczące ryzyko dla infrastruktury federalnej. Chociaż dyrektywa dotyczy wyłącznie agencji FCEB, CISA zachęca wszystkie organizacje do zarządzania podatnościami w oparciu o ryzyko i priorytetowego usuwania luk z katalogu KEV.
CISA nie przekazała jeszcze dalszych szczegółów trwających ataków PHP2Shell. Pierwszego potwierdzenia skutecznego wykorzystania podatności w realnych warunkach dostarczył w weekend Adel Karimi, kierujący wykrywaniem i reagowaniem w Perplexity. Pułapki badawcze zarejestrowały dowody zdalnego wykonania kodu w instalacji Apache mod_php działającej z PHP 8.4.26.
W piątek zespół bezpieczeństwa PHP udostępnił także środki zaradcze dla nowej luki RCE, CVE-2026-115560, która nie ma jeszcze poprawki. Można ją wykorzystać wobec systemów charakteryzujących się, jak określono, „niezwykłą kombinacją konfiguracji i kodu aplikacji”.
Według szacunków VirusTotal PHP obsługuje około 70% wszystkich stron internetowych. W internecie widocznych jest ponad 5,1 mln hostów PHP, a około 3,8 mln instancji ma co najmniej jeden port otwarty na ataki.
