PHP2Shell: exploatarea a început înainte de divulgare — actualizați PHP acum

Două vulnerabilități critice din runtime-ul PHP, cunoscute împreună sub numele de PHP2Shell, sunt exploatate activ. Cel puțin un atacator le căuta cu patru zile înainte ca ele să fie făcute publice. PHP rulează în spatele unei mari părți din web, așa că actualizarea trebuie făcută azi, nu în următorul ciclu de mentenanță.

Ce s-a întâmplat

Vulnerabilitățile sunt CVE-2026-109618 și CVE-2026-109619, ambele cu scor 9.2 (CVSS). Se află în zone ale nucleului PHP prin care trece aproape orice cerere (gestionarea memoriei și tratarea erorilor) și permit executarea de cod de la distanță, fără autentificare. Sunt afectate toate versiunile din seriile PHP 7.x și 8.x. Problema este în runtime, nu în aplicație, deci orice endpoint PHP accesibil poate fi o poartă de intrare: un formular de contact, o pagină de login, chiar și un health check. CMS-ul, framework-ul sau plugin-urile folosite nu contează.

Divulgarea nu a decurs conform planului:

• Tentative înainte de divulgare. Echipa de threat intelligence a Amazon a detectat pe 17 octombrie 2026 o încercare de exploatare împotriva rețelei sale de honeypot-uri. Cererea a venit de la o adresă IP a unui serviciu de anonimizare, localizată în Australia (103.216.220[.]92). Nu se știe cum a obținut atacatorul detaliile cât timp vulnerabilitățile erau încă sub embargo.
• Scurgere timpurie. Divulgarea coordonată era programată pe 22 octombrie, ora 14:00 UTC. Detaliile CVE și un exploit proof-of-concept au ajuns publice mai devreme, așa că PHP Foundation a lansat corecțiile cu o zi înainte.
• Embargo încălcat. Firma de threat intelligence ELLIO a văzut prima cerere PHP2Shell pe 21 octombrie, la 08:36 UTC. Asta s-a întâmplat la mai puțin de o oră după ce Chainguard, care primise patch-ul în avans, a publicat imagini cu corecția. PHP Foundation a criticat decizia, pentru că le-a permis atacatorilor să studieze corecția înainte ca majoritatea utilizatorilor să o poată instala.
• Exploatare în masă. Amazon a înregistrat mai multe exploit-uri PoC începând cu aproximativ ora 02:00 UTC pe 21 octombrie, apoi șase ore de tentative din infrastructură anonimizată. Varietatea payload-urilor indică mai mulți actori separați. Cloudflare raportează că atacatorii își modifică payload-urile ca să treacă de regulile sale. Un furnizor WebOps spune că a blocat peste 60.000 de cereri de scanare în prima zi.
• PoC-uri false. JFrog a găsit pe GitHub „exploit-uri” false care conțin malware de tip farsă. Nu rulați cod PoC de proveniență necunoscută ca să vă testați serverele.

NCSC (Marea Britanie), CISA, FBI, NSA și multe alte agenții naționale au emis avertizări. Mesajul este același: actualizați imediat sau scoateți sistemele expuse offline până o puteți face.

De ce contează

• Expunere uriașă. Scanările la nivel de internet numără între 2,6 și 4,4 milioane de servicii PHP accesibile public. Majoritatea rulează versiuni pe care proiectul PHP nu le mai suportă: o estimare arată că aproximativ 79% sunt pe versiuni ieșite din suport, precum 7.4, 7.2 sau 5.3.
• Aproape nicio urmă. Cercetătorii arată că un atac reușit poate să nu lase nicio anomalie în logurile aplicației și niciun răspuns de eroare. Adesea, singurul semn este o eroare fatală de tip memory-limit în logul serverului web, genul de linie ignorată ca zgomot.
• Timp tot mai scurt până la exploit. Exploit-urile apar acum la câteva ore după corecție, uneori chiar înainte. Analiza patch-urilor asistată de AI accelerează acest proces.

Ce trebuie făcut

1. Identificați fiecare instanță PHP pe care o rulați. Asta include site-uri, aplicații interne, echipamente, imagini de bază pentru containere și servere de staging uitate. PHP vine adesea inclus în imaginile de sistem și în stack-uri vechi.
2. Actualizați acum. Instalați versiunea PHP corectată, de la proiectul PHP sau de la furnizorul sistemului de operare, al distribuției ori al serviciului de hosting. Dacă folosiți o versiune ieșită din suport, verificați dacă furnizorul oferă o corecție portată (unii, precum CloudLinux, o oferă deja) și planificați migrarea. Dacă nu puteți actualiza rapid, scoateți serviciul expus offline sau restricționați accesul la el.
3. Activați protecțiile WAF oferite de furnizorul CDN sau WAF, ca măsură temporară. Nu le considerați o rezolvare, pentru că atacatorii își modifică deja payload-urile ca să le ocolească.
4. Căutați semne de compromitere. Urmăriți procesele PHP care pornesc shell-uri sau descarcă fișiere. Verificați logurile de eroare ale serverului web pentru erori fatale neașteptate de tip memory-limit începând de la jumătatea lui octombrie, precum și fișierele noi din directoarele web.
5. Blocați și investigați indicatorii raportați. Printre aceștia se numără 103.216.220[.]92, 31.223.184[.]166, 37.19.200[.]5, 134.209.159[.]64, 103.114.163[.]188, 95.217.98[.]37, 85.11.167[.]243, 45.198.224[.]169, 109.71.252[.]97 și user-agent-ul php2shell-scan/109618. Multe dintre aceste adrese aparțin unor servicii de anonimizare, așa că tratați potrivirile ca piste de investigat, nu ca dovezi.

Primul pas este să știți care dintre serverele expuse la internet rulează o versiune PHP vulnerabilă. Serviciul nostru de scanare a vulnerabilităților este construit tocmai pentru a scoate rapid la iveală astfel de expuneri pe tot perimetrul, astfel încât remedierea să înceapă acolo unde riscul este cel mai mare.

Subiect relatat inițial de The Hacker News. Rescris și analizat de echipa 4Tify.