Már a javítás előtt támadták a PHP2Shell két kritikus hibáját

A PHP október 21-én adta ki a javításokat: ezek a 8.2.35, a 8.3.36, a 8.4.27 és a 8.5.12 verzióban találhatók meg. A CISA szerint az internet felől elérhető rendszerekkel kell kezdeni a frissítést.

A Cisco Talos azt javasolja, hogy aki PHP 8.1-et vagy korábbi ágat használ, azonnal térjen át legalább a 8.2-es ágra. A cPanel és a Plesk ugyanakkor a már támogatáson kívüli PHP 7.4, 8.0 és 8.1 ágakhoz is kiadott javított változatokat.

A hibák magát a PHP-t érintik, nem egyetlen webes alkalmazást. Az AWS figyelmeztetése szerint ezért a WordPress vagy más alkalmazás frissítése önmagában nem javítja ki a problémát, ha a kiszolgálón továbbra is sérülékeny PHP fut. Érdemes a tárhelyszolgáltatónál, az operációs rendszer szállítójánál vagy a konténerképnél is ellenőrizni, rendelkezésre áll-e a javítás.

A CVE-2026-109618 és a CVE-2026-109619 azonosítójú hibák egyaránt 9,2-es CVSS-besorolást kaptak, ami kritikus műszaki súlyosságot jelent. A CISA október 26-án mindkettőt felvette a ténylegesen kihasznált sérülékenységek listájára.

A támadó speciálisan összeállított webes kéréssel bejelentkezés nélkül futtathat parancsokat egy sérülékeny kiszolgálón. A CrowdStrike tesztje szerint az Apache mod_php környezetben ehhez egyetlen kérés is elegendő volt, és nem volt szükség sérülékeny alkalmazáskódra.

A PHP több termékben és szolgáltatásban a háttérben is jelen lehet. A CISA ezért arra figyelmeztet, hogy a használata nem feltétlenül szembetűnő. A brit NCSC szerint az összes PHP-telepítést fel kell térképezni, és követni kell az érintett eszközök és szolgáltatások gyártóinak frissítéseit.

Az Amazon egy támadók vizsgálatára fenntartott rendszerén észlelte az október 17-i próbálkozást. A vállalat szerint a kísérlet anonimizáló hálózathoz kötődő IP-címről érkezett; az nem tisztázott, hogyan jutott a támadó a még nem nyilvános információhoz.

A PHP a tervezettnél egy nappal korábban adta ki a javítást, miután október 20-án a hibák azonosítói terjedni kezdtek az interneten. A javítások megjelenése előtti órákban a Hadrian, a Patchstack és a Cloudflare is támadási kísérleteket észlelt. Az AWS később széles körű kihasználásról számolt be.

A PHP Foundation beszámolója szerint egy 2024-es biztonsági vizsgálat már azonosította a CVE-2026-109618 alapjául szolgáló memóriahibát, de akkor nem ismerték fel a távoli kódfuttatás lehetőségét.

A Searchlight Cyber ingyenes, nyílt forráskódú php2shell-scanner eszköze azt vizsgálja, hogy egy kiszolgáló ki van-e téve a két hibának. A kutatók szerint a puszta verzióellenőrzés nem bizonyítja, hogy a sérülékeny állapot valóban elérhető.

Az eszköz először memóriahiányos hibát próbál előidézni, majd a kiszolgáló válaszát figyeli; a közölt PHP-verziót végső lehetőségként ellenőrzi. A készítők arra is figyelmeztetnek, hogy a memóriahiány előidézése önmagában kockázatos, ezért körültekintést kérnek a használatakor.

A PHP beépítése miatt több gyártó is ellenőrzi a termékeit. A Cisco több mint 30 terméket és felhőszolgáltatást sorolt fel vizsgálat alatt állóként, de közlése szerint egyikről sem ismert, hogy érintett lenne.

Az Ubuntu a támogatott kiadásaihoz, a Debian pedig a bookworm és trixie kiadáshoz adott javítást. A Palo Alto Networks szerint a következő PAN-OS-kiadások kezelik a hibát, a Sophos pedig leállította és frissíti a sérülékeny PHP-t használó MyUTM portált.

Az AWS szerint a naplókban és a kiszolgálón hagyott nyomokat is vizsgálni kell: a gyanús kérések mellett a PHP által indított váratlan folyamatok és a megmagyarázatlan fájlváltozások is relevánsak lehetnek.