Śledzone jako CVE-2026-109618 i CVE-2026-109619, dwie krytyczne podatności pozwalają atakującym uzyskać zdalne wykonanie kodu na podatnych systemach. Zespół bezpieczeństwa PHP zatkał je 21 października po wezwaniu administratorów dzień wcześniej do przygotowania się na instalację aktualizacji, gdy tylko będą dostępne.
Główny deweloper PHP Gina Peter Banyard ostrzegła przed ujawnieniem, że zastosowanie oficjalnych łatek bezpieczeństwa jest jedyną trwałą obroną, podczas gdy UK National Cyber Security Centre (NCSC) poprosiło brytyjskie organizacje o natychmiastową aktualizację serwerów PHP lub ich wyłączenie do czasu zapanowania nad łatkami.
Zespół PHP twierdzi, że wszystko szło zgodnie z planem do dwóch dni przed skoordynowanym ujawnieniem, kiedy musiał przyspieszyć docelową datę wydania począwszy od 20 października po tym, jak niektóre szczegóły dotyczące wad bezpieczeństwa PHP2Shell wyciekły online.
Raport Amazon Threat Intelligence pojawia się po tym, jak wiele firm zajmujących się cyberbezpieczeństwem wykryło nieudane próby eksploitacji przed publicznym ujawnieniem.
Według Amazon pierwsze próby eksploitacji rozpoczęły się w sobotę, 17 października, a atakujący wdrożyli wiele dowodów słuszności eksploitów PHP2Shell kilka godzin po ujawnieniu z adresów IP VPN.
