Obejście luki CVE-2026-115560 w specyficznych konfiguracjach PHP
Zespół rozwijający język PHP przekazał wytyczne dotyczące zabezpieczenia serwerów przed nową podatnością RCE oznaczoną jako CVE-2026-115560. Dla luki tej nie opublikowano jeszcze oficjalnej poprawki w kodzie, a jej naprawa została zaplanowana w standardowym cyklu wydawniczym. Według informacji dostarczonych przez twórców technologii problem dotyczy wyłącznie środowisk o nietypowej i rzadko spotykanej w praktyce konfiguracji.
Zagrożenie pojawia się w sytuacji, gdy w głównej konfiguracji aplikacji parametr session.serialize_handler jest ustawiony na wartość php_binary lub php_serialize, a następnie w trakcie działania programu zostaje zmieniony na php za pomocą funkcji ini_set() przed wywołaniem session_start(). Dodatkowym warunkiem koniecznym do przeprowadzenia ataku jest aktywna funkcja śledzenia postępu przesyłania plików.
Zalecanym działaniem zapobiegawczym jest wyłączenie mechanizmu postępu przesyłania plików poprzez ustawienie w konfiguracji wartości session.upload_progress.enabled=0. Zespół PHP zaznacza, że administratorzy, którzy zastosowali to ustawienie wcześniej przy okazji łatania innych błędów, nie muszą podejmować dodatkowych kroków. Aplikacje, które nie zmieniają obsługi serializacji w czasie wykonywania kodu, mogą bezpiecznie pozostawić tę opcję włączoną.
Skala zagrożenia i sytuacja wokół podatności PHP2Shell
Szacunki serwisu VirusTotal wskazują na ponad 5,1 miliona hostów PHP widocznych w sieci, z czego około 3,8 miliona ma otwarty przynajmniej jeden port. Język PHP odpowiada za działanie blisko 70% wszystkich stron internetowych w internecie, co sprawia, że luki w tym środowisku przyciągają uwagę atakujących.
Wydanie zaleceń dla CVE-2026-115560 zbiegło się w czasie z publikacją aktualizacji dla dwóch krytycznych podatności z grupy PHP2Shell, oznaczonych jako CVE-2026-109618 oraz CVE-2026-109619. Choć oficjalne łatki ukazały się w środę, próby wykorzystania błędów zarejestrowano jeszcze przed ich oficjalnym udostępnieniem.
Wcześniejsze wykrycie prób ataku było możliwe w wyniku wycieku danych dotyczących identyfikatorów CVE oraz zaleceń przekazanych wcześniej dostawcom infrastruktury krytycznej. Analitycy z zespołu Amazon Threat Intelligence zaobserwowali aktywność ukierunkowaną na luki PHP2Shell na cztery dni przed oficjalnym wydaniem poprawek. Zespół PHP wskazał również, że przed udostępnieniem łatki w sieci pojawiły się niedziałające kody koncepcyjne (PoC).
Obserwacje firm zajmujących się bezpieczeństwem
Próby skanowania oraz nieudane próby eksploatacji odnotowały między innymi firmy Cloudflare, watchTowr, Previdian, Hadrian oraz Patchstack. Dyrektor do spraw bezpieczeństwa informacji w AWS, CJ Moses, poinformował, że zróżnicowanie ładunków oraz używanej infrastruktury anonimizującej wskazuje na udział wielu niezależnych podmiotów.
Z ustaleń zespołu TRACE w firmie Dataminr wynika, że aktywność po ujawnieniu podatności sprowadza się obecnie do skanowania sieci, identyfikacji oprogramowania oraz testowania niedziałających kodów ataku. Do momentu publikacji raportu nie potwierdzono przejęcia kontroli nad żadnym systemem, jednak badacze wskazują, że pojawienie się działających narzędzi ataku jest jedynie kwestią czasu.
