Bekräftat PHP2Shell-utnyttjande har nu lett till fjärrkörning av kod i verkliga attacker, enligt nyligen publicerade bevis från ett honeypot-system. Resultaten markerar en övergång från tidigare skanningar och misslyckade försök till en framgångsrik attack.
De två sårbarheterna, som registrerats som CVE-2026-109618 och CVE-2026-109619, fick akuta säkerhetsuppdateringar den 21 oktober. Forskare har dock nu dokumenterat en framgångsrik attack mot en Apache mod_php-installation som kör PHP 8.4.26.
Bevis från honeypot bekräftar PHP2Shell-utnyttjande
Adel Karimi, ansvarig för detektering och incidenthantering på Perplexity, fångade den skadliga aktiviteten genom ett honeypot-system. Hans analys kopplade en framgångsrik minnesläcka till en efterföljande begäran om kodexekvering.
Servern returnerade cirka 800 KiB avkodad cookiedata. Enligt Karimi använde angriparen sedan information från svaret för att konstruera nyttolasten för kodexekvering.
Mer specifikt förekom en funktionsadress som beräknats utifrån den läckta informationen i den senare begäran. Den kopplingen gav starkare bevis än enbart en serverkrasch eller en oväntad process.
Den registrerade trafiken visade också att klienten bekräftade mottagandet av hela svaret. Omkring 1,6 millisekunder efter den sista registrerade byten i exekveringsbegäran kördes shellkommandot.
Marcus Hutchins, hotforskare på Expel, granskade resultaten och beskrev dem som en stark bekräftelse på framgångsrikt utnyttjande.
Tidigare attacker kunde inte påvisa intrång
Före dessa resultat hade säkerhetsföretag observerat försök att utnyttja PHP2Shell utan att kunna bekräfta några framgångsrika intrång.
Cloudflare, Hadrian, watchTowr, Previdian och Patchstack upptäckte skadlig aktivitet före det offentliga avslöjandet. De bedömde dock att de observerade försöken hade misslyckats.
Samtidigt identifierade Amazon Threat Intelligence attacker mot sårbarheterna fyra dagar innan de akuta säkerhetsuppdateringarna släpptes.
Dataminrs hotforskningsgrupp beskrev tidigare aktiviteten som skanning, identifiering av systemegenskaper och försök med icke-fungerande exploateringskod. Vid den tidpunkten hade forskarna inte fastställt några kända intrång.
De nya bevisen från honeypot-systemet förändrar den bedömningen genom att visa en fungerande attack mot en specifik serverkonfiguration. De fastställer dock inte hur många produktionssystem angriparna kan ha komprometterat.
Akuta säkerhetsuppdateringar följde på en tidig informationsläcka
PHP:s säkerhetsteam släppte korrigeringar för båda PHP2Shell-sårbarheterna den 21 oktober. Dagen innan uppmanade teamet administratörer att förbereda omedelbara uppdateringar.
Detaljer spreds på nätet innan uppdateringarna blev tillgängliga. Dessa omfattade sårbarhetsidentifierare och rekommendationer om skyddsåtgärder som vissa leverantörer av kritisk infrastruktur hade fått.
Flera proof-of-concept-exploateringar dök också upp under perioden. PHP:s säkerhetsteam uppgav dock att dessa tidiga exempel inte fungerade.
Administratörer bör därför skilja mellan de tidigare misslyckade försöken och det nyligen bekräftade utnyttjandet. De senaste bevisen ökar behovet av att snabbt installera säkerhetsuppdateringarna för PHP2Shell.
Separat PHP-sårbarhet kräver en tillfällig skyddsåtgärd
Utöver PHP2Shell publicerade PHP:s säkerhetsteam den 23 oktober rekommendationer om skyddsåtgärder för ytterligare en sårbarhet som möjliggör fjärrkörning av kod, CVE-2026-115560.
Enligt rapporten saknade den separata sårbarheten fortfarande en korrigering den 26 oktober. Utnyttjande kräver en ovanlig kombination av serverkonfiguration och applikationskod.
Tills en korrigering blir tillgänglig rekommenderar PHP-utvecklarna att administratörer inaktiverar övervakning av uppladdningsförlopp i sessioner genom följande inställning:
session.upload_progress.enabled=0
Teamet hade även rekommenderat denna åtgärd innan PHP2Shell-uppdateringarna släpptes. Administratörer bör dock installera de tillgängliga säkerhetsuppdateringarna för de två ursprungliga sårbarheterna i stället för att enbart förlita sig på tillfälliga skyddsåtgärder.
PHP:s omfattande användning ökar riskerna
PHP driver en betydande andel av alla webbplatser, vilket gör sårbarheter i språket relevanta för många olika webbhotellsmiljöer.
Nya uppskattningar från VirusTotal identifierade mer än 5,1 miljoner PHP-värdar exponerade mot internet. Av dessa hade cirka 3,8 miljoner minst en öppen port som potentiellt kunde vara tillgänglig för angripare.
Siffrorna beskriver exponering snarare än bekräftade sårbarheter eller intrång. Det framgångsrika PHP2Shell-utnyttjandet visar ändå varför administratörer snabbt bör granska sina installationer och installera tillgängliga korrigeringar.
0 svar till ”PHP2Shell-utnyttjande bekräftat i pågående attacker”