Vulnerabilitetet e PHP nën sulm aktiv kërkojnë përditësime
Vulnerabilitetet e PHP që mundësojnë remote code execution pa autentikim, që do të thotë se sulmuesit mund të ekzekutojnë kod pa u identifikuar më parë, tani po shfrytëzohen në mënyrë aktive. Agjencia e SHBA-së për Sigurinë Kibernetike dhe të Infrastrukturës (CISA) i shtoi të dyja dobësitë PHP2Shell në katalogun e saj Known Exploited Vulnerabilities (KEV), një listë dobësish sigurie të konfirmuara si të përdorura në sulme.
Vulnerabilitetet janë CVE-2026-109618 dhe CVE-2026-109619 dhe të dyja kanë një vlerësim 9.2 sipas Common Vulnerability Scoring System (CVSS), i cili vlerëson ashpërsinë teknike të dobësive të sigurisë. CVE-2026-109618 përfshin out-of-memory corruption, ku trajtimi i pasaktë i memories së shteruar mund të dëmtojë të dhënat e brendshme të programit. CVE-2026-109619 përfshin stale internal request state, që do të thotë se informacioni i mbetur nga një kërkesë e mëparshme mund të ndikojë në mënyrë të gabuar në përpunimin e mëvonshëm. Të dyja kushtet mund të çojnë në remote code execution pa autentikim në instalimet e prekura.
Provat e shfrytëzimit praktik erdhën nga honeypots, të cilat janë sisteme karrem të ekspozuara qëllimisht për të vëzhguar sulmet. Drejtuesi i zbulimit dhe reagimit në Perplexity konfirmoi remote code execution të suksesshëm kundër sistemeve honeypots më 24 tetor 2026. Përgjigjja e vëzhguar përmbante një cookie dump të dekoduar prej 800 KiB, një bllok të dhënash të ekspozuara nga memoria e procesit. Një adresë funksioni, e llogaritur nga ai dump duke përdorur pozicionet e publikuara bashkë me exploit-in publik, u shfaq më pas në execution payload vijues.
Analiza e Perplexity vendosi gjithashtu një kufizim të rëndësishëm për këtë gjetje. Zinxhiri i demonstruar përdori një konfigurim mod_php qëllimisht të favorshëm me një worker të vetëm, në të cilin PHP funksionon si pjesë e procesit të web server Apache. Testi nuk mati se me çfarë besueshmërie funksionon exploit-i me numra të tjerë worker-ësh, PHP builds ose aplikacione. Shfrytëzimi aktiv është konfirmuar, por rezultati i raportuar nga honeypot nuk duhet trajtuar si provë se çdo konfigurim i prekur mund të komprometohet me të njëjtën qëndrueshmëri.
PHP i korrigjoi dy dobësitë PHP2Shell në versionet 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35, të publikuara më 21 tetor 2026. CISA u dha agjencive federale të SHBA-së afat deri më 29 tetor 2026 për të zbatuar korrigjimet e kërkuara. Pronarët e faqeve dhe ekipet e hosting-ut duhet të verifikojnë PHP runtime që përdoret nga çdo faqe publike, në vend që të mbështeten vetëm te versioni i zgjedhur në një panel kontrolli ose që pritet nga një aplikacion.
Ekspozimi është potencialisht i gjerë, sepse PHP, shkurtim për PHP: Hypertext Preprocessor, është një server-side scripting language që përdoret nga afërsisht 70% e faqeve të internetit. Censys vlerëson se më shumë se 32,51 milionë shërbime PHP mbeten në një version të prekur. Kjo shifër përshkruan shërbime të dukshme dhe jo kompromise të konfirmuara, por tregon se sa instalime mund të kenë ende nevojë për kontroll dhe përditësim.
Ashpërsia nxiti publikimin e njoftimeve nga ABB, Arista Networks, Belden, Broadcom, Canon, Citrix, Craft CMS, Dell, Dormakaba, Drupal, ExpressionEngine, F5, Hikvision, HP, HPE, Hitachi Energy, HMS Networks, Huawei, IBM, Ivanti, Johnson Controls, Mitel, Moxa, NETGEAR, October CMS, Okta, QNAP, Rockwell Automation, Ruckus Wireless, Salesforce, Schneider Electric, Siemens, SonicWall, Splunk, Synology, Veeam, Wibu-Systems dhe WordPress. Këto njoftime pasqyrojnë gamën e produkteve dhe ekosistemeve softuerike që mund të përfshijnë PHP ose të ndërveprojnë me të. Administratorët duhet të konsultojnë njoftimin për platformën specifike që përdorin dhe nuk duhet të supozojnë se vetëm përditësimi i një content management system përditëson edhe PHP runtime bazë.
Një problem tjetër prek gjithashtu PHP Windows builds. Më 26 tetor 2026, PHP Foundation publikoi builds 8.5.12-1, 8.4.27-1, 8.3.36-1 dhe 8.2.35-1 për të adresuar CVE-2026-111497. Ky është një out-of-bounds write në bibliotekën Brotli decoder, një komponent që dekompreson përmbajtjen e web-it. Dobësia mund të çojë në privilege escalation, ku kodi fiton më shumë akses nga sa ishte parashikuar, si edhe në remote code execution pa autentikim.
CVE-2026-111497 njihet gjithashtu si Broccoli2Shell, HTTP2Shell dhe Node2Shell. Ai prek versionet Brotli nga 1.0.3 deri në 1.0.9, si edhe 1.1.0 dhe 1.2.0. Versionet e korrigjuara janë 1.0.10, 1.1.1 dhe 1.2.1. Korrigjimet kanë arritur gjithashtu te projektet që përfshijnë C library të prekur, një komponent softuerik të ripërdorshëm të shkruar për aplikacione native, duke përfshirë Node.js, Bun, Envoy Proxy, Istio, .NET dhe Python.
Sipas PHP Foundation, Brotli decoder vulnerabël në PHP Windows builds mund të arrihet përmes cURL extension, të cilin aplikacionet e përdorin për të bërë kërkesa në web, kur aktivizohet dekompresimi automatik i HTTP responses. Kjo sjellje është e çaktivizuar si parazgjedhje në cURL, megjithëse aplikacionet dhe HTTP client libraries mund ta aktivizojnë. Prandaj, administratorëve të Windows u nevojitet PHP build i korrigjuar edhe nëse nuk e kanë instaluar me vetëdije Brotli si komponent më vete.
Për pronarët e faqeve WordPress që po shqyrtojnë se kujt i takon përgjegjësia për mjedisin e hosting-ut, AEU Hosting ofron hosting të menaxhuar për WordPress, të siguruar nga skaji në skaj. Pavarësisht platformës, përparësia e menjëhershme është identifikimi i instalimeve të prekura të PHP, kalimi i tyre në një version të korrigjuar dhe konfirmimi se çdo faqe publike po përdor vërtet runtime-in e përditësuar.