PHP2Shell уже використовують: підтверджено віддалене виконання коду в PHP 8.4.26
Дві критичні вразливості PHP2Shell (CVE-2026-109618 і CVE-2026-109619) підтверджено експлуатують у реальних атаках. Дослідник зафіксував успішне RCE проти Apache mod_php з PHP 8.4.26.
Дві критичні вразливості у PHP, відомі як PHP2Shell (CVE-2026-109618 і CVE-2026-109619), уже застосовуються зловмисниками: дослідники зафіксували підтверджене віддалене виконання коду (RCE) на інсталяції Apache mod_php з PHP 8.4.26.
Як підтвердили експлуатацію
Активність виявив Adel Karimi з Perplexity: його пастки для атак зафіксували RCE з витоком пам’яті. У відповіді сервер надіслав приблизно 800 КіБ розкодованих cookie, а з адреси функції, обчисленої з цього дампу за офсетами публічного експлойта, було сформовано подальший виконуваний payload. За словами дослідника, оболонка стартувала приблизно через 1,6 мс після завершення запиту.
Висновки Karimi підтвердив дослідник загроз Marcus Hutchins (Expel), назвавши їх найбільш переконливим технічним розбором успішної спроби експлуатації PHP2Shell проти Apache mod_php на PHP 8.4.26.
Патчі вийшли, але експлойти з’явилися раніше
Команда безпеки PHP виправила PHP2Shell наступного дня після заклику адміністраторам готуватися до оновлення. До виходу латок в мережу потрапили подробиці про вразливості (включно з CVE) та опубліковано кілька PoC, однак команда PHP заявляла, що вони не працюють.
Кілька компаній (зокрема Cloudflare, Hadrian, watchTowr, Previdian і Patchstack) фіксували спроби експлуатації до публічного розкриття, але вважали їх безуспішними. За даними дослідників Amazon Threat Intelligence, зловмисники цілилися у PHP2Shell за чотири дні до виходу патчів; як уточнює команда TRACE компанії Dataminr, до спостережень Karimi активність обмежувалася скануванням, ідентифікацією та використанням не робочих експлойтів, без відомих компрометацій.
Ще одна RCE без патча: тимчасове пом’якшення
Додатково команда PHP повідомила про нову RCE-вразливість CVE-2026-115560, для якої поки що немає виправлення. Вона експлуатується лише за нетипового поєднання конфігурації та коду застосунку. До виходу патча радять вимкнути session.upload_progress.enabled=0 — цю рекомендацію також давали до релізу оновлень для PHP2Shell.
Ризик масштабний — PHP всюди
PHP використовують близько 70% сайтів у мережі. За оцінками VirusTotal, в інтернеті відкрито понад 5,1 млн PHP-хостів, з яких приблизно 3,8 млн мають щонайменше один відкритий порт для атак. Адміністраторам варто терміново встановити останні оновлення PHP і застосувати згадані пом’якшення.
