Autor: Root.cz s využitím Duck.ai

Na zranitelnosti PHP2Shell útočníci zkoušejí útočit v masovém měřítku. Podle údajů společnosti Cloudflare se počet pokusů po zveřejnění informací o chybách vyšplhal během několika hodin na stovky tisíc a do 22. října už byly zaznamenány miliony pokusů o útok. Bezpečnostní firmy však zatím nepotvrdily úspěšné zneužití zranitelností.

PHP vydalo 21. října mimořádné opravy dvou kritických chyb, CVE-2026–109618 a CVE-2026–109619, s hodnocením CVSS 9,2. Chyby se nacházejí přímo v PHP a mohou umožnit vzdálené spuštění kódu bez přihlášení a bez ohledu na použitou aplikaci. Problém podle dostupných informací sahá až k PHP 5.4 z roku 2012.

Opravené verze jsou PHP 8.2.35, 8.3.36, 8.4.27 a 8.5.12. U starších větví 7.4, 8.0 a 8.1 je třeba sledovat opravy od jejich distributorů, případně přejít na podporovanou verzi. Správcům se doporučuje aktualizaci neodkládat: podle služby Censys zůstávalo k 23. říjnu zranitelných více než 34,4 milionu instalací PHP.

Dosavadní provoz zachycený bezpečnostními firmami zahrnuje především skenování a pokusy o nasazení malwaru. Sophos zablokoval pokus o doručení varianty botnetu Mirai označované jako Potassium. Výzkumníci z VulnCheck mezitím připravili funkční exploit, který při kombinaci obou chyb obchází ochranu ASLR. To zvyšuje riziko, že se situace může změnit, i když rozsáhlé úspěšné útoky zatím doloženy nejsou.