Përpjekjet PHP2Shell rriten ndjeshëm, ndërsa RCE i besueshëm mbetet i paarritshëm
Përpjekjet për exploit PHP2Shell kanë arritur në miliona kërkesa, por disa kompani sigurie thonë se ende nuk kanë vërejtur remote code execution të besueshëm në përdorim real. Dy dobësitë bazë, CVE-2026-109618 dhe CVE-2026-109619, kanë secila një vlerësim ashpërsie CVSS prej 9.2 dhe mund t’i lejojnë një sulmuesi të paautentikuar të ekzekutojë kod duke dërguar kërkesa web të ndërtuara posaçërisht. PHP i ka korrigjuar ato në versionet 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35.
Sophos shqyrtoi përpjekje të pasuksesshme për t’i përdorur dobësitë për instalimin e Potassium, një variant i zgjeruar i familjes së malware Mirai. Mostra mund të shkarkojë software shtesë dhe të kryejë sulme distributed denial-of-service, të quajtura zakonisht sulme DDoS, të cilat e mbingarkojnë objektivin me trafik. Ajo dekripton një adresë të integruar command-and-control, lidhet me 134.199.154[.]64 dhe kontrollon që payload i shkarkuar të jetë një skedar i ekzekutueshëm Linux ELF. resolver i saj i adresave mund të përdorë shërbimet publike DNS në 8.8.8.8, 1.1.1.1 dhe 1.0.0.1 nëse metodat e tjera të resolution dështojnë.
Sophos i gjurmoi përpjekjet te 85.11.167[.]243, 217.60.242[.]76 dhe 45.198.224[.]169. Këto sisteme kontaktuan 92.118.112[.]100 për një loader që instalonte mostrën e botnet. Në një mjedis testimi të izoluar, malware kërkoi thunder.godofthunder[.]st, arriti te 134.199.154[.]64 dhe hapi një kanal kontrolli përmes portës TCP 50792. Objektivi i konfiguruar ishte kryerja e vazhdueshme e vërshimeve me trafik kundër 45.88.138[.]0 dhe 45.88.138[.]44, dy host pranë njëri-tjetrit në të njëjtin rrjet ukrainas. Sophos tha se mungesa e sulmeve të suksesshme PHP2Shell tregonte se sulmuesit po hasnin vështirësi në krijimin e exploit të besueshëm.
Potassium u identifikua fillimisht nga platforma e gjurmimit të botnet Synthient në mars 2026. Më pas, Nokia Deepfield e përshkroi si një fork të Mirai që përdor enkriptimin ChaCha20 për konfigurimin e ruajtur, byte 0xED për komunikimet në rrjet dhe një protokoll reverse-shell të quajtur SHELL / SHOUT në të njëjtin kanal me udhëzimet e sulmit. Ai gjithashtu i riorganizon dy gjysmat e adresave IPv4 të zgjidhura përpara se të lidhet. Arctic Wolf gjeti 24 komanda që mbështesnin vërshime përmes ICMP, TCP, UDP dhe OpenVPN. Build për ARM dhe x86 përmbanin një opsion joaktiv për resolution të infrastrukturës së kontrollit përmes Ethereum Name Service, ose ENS. Arctic Wolf paralajmëroi se aktivizimi i tij mund ta ndërlikonte ndërprerjen, duke shtuar emrat ENS dhe infrastrukturën përkatëse te sistemet që mbrojtësit duhet të bllokojnë.
Kërkime të veçanta tregojnë se si sulmuesit po përpiqen ta bëjnë PHP2Shell praktik. SOCRadar gjeti mjete exploit për PHP 8.4.26 në një server të ekspozuar në 206.188.197[.]105:9999. Programi qendror në Python paraqitej nga operatori i tij si një exploit me një klikim për Apache mod_php. Ai përpiqet të riciklojë një PHP worker process, të zbulojë adresat e memories përmes një session cookie dhe të abuzojë me trajtimin e progresit të ngarkimit të PHP session për të ekzekutuar një shell command. Zbulimi i adresave synon të anashkalojë Address Space Layout Randomization, ose ASLR, një mbrojtje që i zhvendos programet dhe komponentët e sistemit në vendndodhje të paparashikueshme të memories.
Tre script shoqëruese profilizuan rreth 20 faqe publike web. Njëra mblodhi versionet e PHP dhe konfigurimet e serverëve, një tjetër shqyrtoi 11 faqe për gabime të ekspozuara, faqe phpinfo, file inclusion dhe session injection, ndërsa e treta listoi përdoruesit dhe plugin në pesë faqe WordPress. Deri më 22 tetor 2026, SOCRadar nuk gjeti prova se ndonjë faqe e kontrolluar kishte mundësuar shell access. Toolset më i gjerë nxori gjithashtu API keys dhe adresa backend nga JavaScript i dërguar në browser, kërkoi në faqet web dhe në route të application programming interface për akses pa autentikim, ndërroi proxies për t’i shpërndarë kërkesat, shqyrtoi arkivat web dhe automatizoi zgjidhjen e CAPTCHA. SOCRadar vlerësoi se operatori ishte i motivuar financiarisht dhe i përqendruar te objektivat e lidhura me kriptovalutat dhe Web3.
Hunt.io e lidhi të njëjtin server shfrytëzimi me sulme të synuara ndaj 123 sistemeve në rrjete cloud, shared-hosting dhe të ofruesve të shërbimeve të internetit. Rreth 57 përdornin PHP, përfshirë shumë që përdornin branch të pambështetur nga PHP 5.x deri në 7.x. Dhjetë sisteme i refuzuan kërkesat, përfshirë tri nga pesë sistemet e mbrojtura nga Cloudflare, dhe Hunt.io zbuloi se asnjëri nuk ishte shfrytëzuar. Gjithashtu identifikoi mjete PHP2Shell të shpërndara përmes 10 drejtorive të hapura në disa serverë.
Megjithatë, kërkimi nga VulnCheck tregon se pengesa e shfrytëzimit mund të kapërcehet. Ekipi i tij zhvilloi një chain që kombinonte të dyja dobësitë, duke përdorur zbulimin e memories për të anashkaluar ASLR dhe për të arritur remote code execution në sistemet x86-64 me konfigurimin e rekomanduar nga PHP për shfaqjen e gabimeve në production. VulnCheck tha se nuk kishte identifikuar ndonjë exploit tjetër publik ose komercial që funksiononte në të njëjtat kushte. Shfrytëzimi i suksesshëm do ta ekzekutonte kodin me lejet e aplikacionit web, duke ekspozuar potencialisht API keys, lidhjet e bazës së të dhënave dhe shërbimet e brendshme që aplikacioni mund të arrijë. Privilegjet root ose të administratorit nuk do të ishin të nevojshme që një sulmues të krijonte një pikëmbështetje të dobishme.
Aktiviteti në të gjithë internetin u përshkallëzua shpejt pas publikimit. Cloudflare regjistroi dhjetëra mijëra përpjekje brenda 45 minutash, qindra mijëra brenda dy orësh dhe miliona deri në orët e para të 22 tetorit 2026. Cisco Talos e karakterizoi pjesën më të madhe të trafikut të vërejtur si skanim dhe dërgim të pakoordinuar të payload. Previdian regjistroi qindra përpjekje kundër CVE-2026-109618 nga dhjetëra adresa, me më pak aktivitet kundër CVE-2026-109619; ngjarja e tij e parë që përfshinte të parën ndodhi më 21 tetor në orën 1:05 pasdite UTC. honeypots të Previdian nuk treguan ekzekutim të suksesshëm kodi apo skedarë PHP të ngarkuar. Beelzebub, Dataminr dhe Wordfence raportuan në mënyrë të ngjashme skanime, fingerprinting dhe përpjekje për të testuar ekzekutimin e komandave, për të mbledhur sekrete nga environment variables, për të vendosur persistence ose për të shkarkuar një payload tjetër, dhe jo komprometime të konfirmuara.
Disa faqe web qeveritare, shkollore dhe spitalore në Azi, Evropë dhe Amerikën e Veriut u nxorën jashtë funksionit si masë paraprake gjatë zbatimit të përditësimeve dhe masave zbutëse. Qeveria e Mbretërisë së Bashkuar konfirmoi 32 shërbime digjitale të padisponueshme dhe katër shërbime pjesërisht të padisponueshme, kryesisht për shkak të mbylljeve parandaluese, ndërsa National Cyber Security Centre lëshoi rreth 50,000 paralajmërime. Këto ndërprerje ishin masa mbrojtëse dhe nuk përbëjnë provë se shërbimet e prekura u shfrytëzuan me sukses.
Sysdig vuri në dukje se kodi i cenueshëm i engine daton që nga PHP 5.4 i vitit 2012. Meqë problemi ndodhet në vetë PHP dhe jo në kodin e aplikacioneve WordPress, Drupal ose Joomla, një faqe mund të mbetet e ekspozuar edhe kur CMS dhe extensions e saj janë përndryshe të pastra. VirusTotal vlerësoi se rreth 272,000 host përdorin një branch të mbështetur PHP nga 8.2 deri në 8.5. Faqet me PHP 7.4, 8.0 ose 8.1 duhet të kalojnë në një branch të mbështetur ose të marrin një backport të ofruar nga distributori. Censys zbuloi më shumë se 3.08 milionë host dhe 56.6 milionë prona web që përdornin PHP, ndërsa më shumë se 34.4 milionë shërbime PHP u vlerësuan si të cenueshme më 23 tetor 2026.