Sikkerhetshull i PHP2Shell er nå utnyttet i det fri

Close-up of piano keys and brass accent — Adhitya Sibikumar / Unsplash

To kritiske sårbarheter for fjernkjøring av kode, identifisert som CVE-2026-109618 og CVE-2026-109619 og samlet sporet som PHP2Shell, har blitt utnyttet i det fri.

Den ondsinnede aktiviteten ble fanget opp av Perplexity, hvor honningkrukker registrerte bevis på bekreftet fjernkjøring av kode mot en Apache mod_php installasjon som kjørte PHP 8.4.26. Bevisene viser en kjede med brukbar minneeksponering, hvor responsen leverte et dekodet informasjonskapsel-dump på 800 KiB. Dette ble bekreftet av en forsker fra Expel, som har sporet rapporter om utnyttelse av PHP2Shell.

Sikkerhetsteamet for PHP utbedret feilene i PHP2Shell onsdag 21. oktober. Dette skjedde én dag etter at administratorer ble bedt om å forberede installasjon av sikkerhetsoppdateringer. Før utbedringene ble publisert, lekket detaljer om sårbarhetene og noen bevis på konseptutnyttelser på nettet, men sikkerhetsteamet for PHP uttalte at ingen av disse var funksjonelle.

Flere selskaper, inkludert Cloudflare, Hadrian, watchTowr, Previdian og Patchstack, oppdaget forsøk på utnyttelse før offentliggjøring, men markerte alle som mislykkede. Forskere ved Amazon Threat Intelligence oppdaget også angripere som siktet seg inn på sårbarhetene fire dager før sikkerhetsoppdateringene ble utgitt. Dataminr opplyste at aktiviteten frem til funnene fra Perplexity var begrenset til skanning, fingeravtrykk og bruk av ikke-fungerende utnyttelser uten kjente kompromisseringer.

Cybersecurity and Infrastructure Security Agency har delt en SIGMA deteksjonsregel for forsøk på utnyttelse av PHP2Shell, men har foreløpig ikke flagget sårbarhetene som utnyttet i det fri.

Sikkerhetsteamet for PHP delte også fredag tiltak for en ny sårbarhet for fjernkjøring av kode, sporet som CVE-2026-115560. Denne har ingen utbedring og kan bare utnyttes mot systemer med en uvanlig kombinasjon av konfigurasjon og applikasjonskode. Utviklerne av PHP rådet administratorer til å sette session.upload_progress.enabled=0 for å blokkere potensielle angrep frem til en sikkerhetsoppdatering er utgitt.