PHP2Shell सुरक्षा खामियों का अब वास्तविक दुनिया में सफलतापूर्वक शोषण किया गया

PHP2Shell के रूप में ट्रैक की गई दो गंभीर रिमोट कोड निष्पादन कमजोरियों, CVE-2026-109618 और CVE-2026-109619, का वास्तविक दुनिया में सफलतापूर्वक शोषण किया गया है।

Perplexity के डिटेक्शन और रिस्पांस लीड Adel Karimi ने इस दुर्भावनापूर्ण गतिविधि का पता लगाया। उनके हनीपॉट्स ने PHP 8.4.26 चलाने वाले Apache mod_php इंस्टॉलेशन के खिलाफ पुष्ट रिमोट कोड निष्पादन के सबूत दर्ज किए। Karimi ने बताया कि यह केवल एक क्रैश नहीं है, बल्कि उपयोग करने योग्य मेमोरी प्रकटीकरण के साथ पुष्ट रिमोट कोड निष्पादन है। उन्होंने उल्लेख किया कि प्रतिक्रिया में 800 KiB का डिकोडेड कुकी डंप मिला। उन्होंने यह भी स्पष्ट किया कि यह प्रमाण जानबूझकर अनुकूल बनाए गए सिंगल-वर्कर mod_php प्रोफाइल पर इस श्रृंखला को प्रदर्शित करता है, और यह अन्य वर्कर काउंट, PHP बिल्ड्स या अनुप्रयोगों पर शोषण की विश्वसनीयता का माप नहीं है। Expel के खतरे के शोधकर्ता Marcus Hutchins ने भी इन निष्कर्षों की पुष्टि की है।

PHP सुरक्षा टीम ने बुधवार, 21 अक्टूबर को PHP2Shell खामियों को ठीक कर दिया था। इससे एक दिन पहले प्रशासकों से सुरक्षा अपडेट उपलब्ध होते ही उन्हें स्थापित करने की तैयारी करने के लिए कहा गया था। पैच लाइव होने से पहले कुछ अवधारणा-प्रमाण शोषण प्रकाशित हुए थे और विवरण ऑनलाइन लीक हो गए थे, लेकिन PHP सुरक्षा टीम ने कहा कि उनमें से कोई भी कार्यात्मक नहीं था। Cloudflare, Hadrian, watchTowr, Previdian और Patchstack सहित कई साइबर सुरक्षा कंपनियों ने सार्वजनिक प्रकटीकरण से पहले शोषण के प्रयासों का पता लगाया था, लेकिन उन सभी को असफल बताया था। Amazon Threat Intelligence के शोधकर्ताओं ने भी पैच जारी होने से चार दिन पहले हमलावरों को इन कमजोरियों को निशाना बनाते देखा था। Dataminr की TRACE टीम के अनुसार, Karimi के निष्कर्षों तक यह गतिविधि केवल स्कैनिंग, फिंगरप्रिंटिंग और गैर-कार्यशील शोषणों के उपयोग तक सीमित थी।

Cybersecurity and Infrastructure Security Agency ने शुक्रवार को शोषण के प्रयासों के लिए एक SIGMA डिटेक्शन नियम साझा किया, लेकिन इस एजेंसी ने अभी तक इन खामियों को वास्तविक दुनिया में शोषित के रूप में चिह्नित नहीं किया है।

इसके अतिरिक्त, PHP सुरक्षा टीम ने एक नई रिमोट कोड निष्पादन भेद्यता, CVE-2026-115560, के लिए शमन उपाय साझा किए हैं जिसका कोई पैच नहीं है। यह केवल उन प्रणालियों को लक्षित करते समय शोषित किया जा सकता है जिनमें कॉन्फ़िगरेशन और एप्लिकेशन कोड का असामान्य संयोजन हो। PHP डेवलपर्स ने सलाह दी है कि सुरक्षा पैच जारी होने तक प्रशासक संभावित हमलों को रोकने के लिए session.upload_progress.enabled=0 सेट करें।