PHP2Shell exploits ekzekutojnë shell commands në honeypots
PHP2Shell exploitation duket se ka arritur të ekzekutojë shell commands në honeypots të ekspozuar ndaj internetit, të cilët janë sisteme karrem që përdoren për të vëzhguar sulmet. Një studiues i Perplexity regjistroi komanda që përdornin wget, curl dhe PHP command-line interface për të kontaktuar 162.35.99[.]94 përmes porteve 80 dhe 8080. Kërkesat identifikonin honeypot e synuar dhe, në disa raste, llogarinë që ekzekutonte komandën. Nuk janë vërejtur skedarë të shkarkuar të fazës së dytë, ndaj qëllimi dhe aftësitë e çdo payload pasues mbeten të panjohura.
Aktiviteti lidhet me CVE-2026-109618 dhe CVE-2026-109619, dy dobësi kritike të PHP që mund të shkaktojnë remote code execution, që do të thotë se një sulmues mund të ekzekutojë komanda nga larg në host-in e prekur. Të dyja mund të prekin konfigurimet standarde të PHP. Cloudflare raportoi miliona përpjekje exploitation pas publikimit të informacionit, ndërsa Defused Cyber vërejti sondime kundër Palo Alto Networks GlobalProtect honeypots nga 204.76.203[.]7, një adresë e lidhur me exploitation në shkallë të gjerë. Këto kërkesa përfshinin PHP session upload-progress marker p2s-rider dhe një ngarkim provë pa payload, sjellje e vlerësuar si kontroll i dobësisë dhe ndërtim i listave të objektivave.
Datadog e përshkroi procesin e exploitation si të varur nga shterimi i kujdesshëm i memories së disponueshme në një fazë të caktuar dhe nga gjetja e vendndodhjeve të përdorshme në memorie, pavarësisht address space layout randomization (ASLR), një mbrojtje që ndryshon vendin ku vendosen të dhënat në memorie. PHP krijon disa kopje të emrit të një fushe formulari gjatë përpunimit të një kërkese. Një sulmues mund të përdorë një emër me madhësi të pazakontë për të shkaktuar dështim të alokimit ndërsa PHP po e kopjon atë në një hash table. Kërkesa duhet të jetë mjaftueshëm e vogël që të pranohet, por e strukturuar në mënyrë që kopja të tejkalojë kufirin e memories të konfiguruar në PHP.
ReliaQuest riprodhoi CVE-2026-109618 në një laborator të kontrolluar dhe publikoi udhëzime për zbulimin më 22 tetor 2026. Testi i saj prodhoi një sekuencë në logs të PHP, Apache dhe sistemit: një kërkesë POST mori një gabim HTTP 500, PHP regjistroi shterim të memories dhe heap corruption, ndërsa Apache worker që përpunonte kërkesën pësoi crash. Ekipet e hostimit mund ta përdorin këtë kombinim si shenjë të mundshme paralajmëruese, në vend që ta trajtojnë çdo gabim të vetëm të serverit si provë të exploitation.
Ndërkohë, Palo Alto Networks Unit 42 ka tërhequr një përfundim të mëparshëm se një sulm ndaj një agjencie qeveritare evropiane kishte nisur përmes dobësive PHP2Shell. Unit 42 tha se sulmi ndodhi në kontekstin e një aplikacioni PHP të cenueshëm, por nuk mundi të konfirmonte se ndonjëra nga dy CVE-të specifike kishte siguruar aksesin fillestar. Ky korrigjim është i rëndësishëm sepse sjellja pas komprometimit mbetet domethënëse, por nuk mund të paraqitet si një depërtim i konfirmuar PHP2Shell.
Në atë incident, Unit 42 vërejti akses te hash të fjalëkalimeve dhe sekretet e multi-factor authentication brenda dy orësh, së bashku me një tunel NT LAN Manager (NTLM) relay drejt Active Directory, sistemi i Microsoft që përdoret për të menaxhuar identitetet dhe lejet e organizatës. Sulmuesi u përpoq gjithashtu të fitonte privilegje Domain Admin. Komandat shqyrtuan të dhënat e autentikimit, kërkuan informacion nga domain controller përmes kërkesave anonime Lightweight Directory Access Protocol (LDAP) dhe kërkuan host-e të brendshme, grupe të privilegjuara, përdorues interaktivë dhe lidhje midis DNS dhe Active Directory. Seksionet e output përdornin ndarës të njëtrajtshëm, si ==SHELLUSER== dhe ==PASSWD==, të cilët Unit 42 i vlerësoi si formatim machine-readable për një sistem agentic AI, të aftë të planifikonte dhe ekzekutonte grupe detyrash.
Veçmas, CYFIRMA raportoi skanime PHP2Shell me volum të ulët nga 21 nodes të komprometuara kundër 216 host-eve të papërditësuar ose pjesërisht të mbrojtur. Sistemet e identifikuara ndodheshin në SHBA, Japoni, Korenë e Jugut, Tajlandë, Indonezi, Australi, Tajvan, Indi, Singapor, Emiratet e Bashkuara Arabe, Arabinë Saudite dhe BE. Ato përfshinin shërbime qeveritare, financiare, logjistike, të aviacionit, prodhimit dhe transaksioneve online. CYFIRMA tha se nodes ndërroheshin ose braktiseshin kur shfaqeshin bllokime ose rate limits, duke zvogëluar mundësinë që fushata të zbulohej nga pragje të thjeshta të volumit.
CYFIRMA ia atribuoi këtë skanim, me siguri të moderuar, një operatori koreanishtfolës të lidhur me ekosistemin Lazarus Group. Vlerësimi u mbështet te aktiviteti në një rrjet të mbyllur anonimiteti I2P, infrastruktura e lidhur më parë me exploitation të aseteve web, karakteristikat gjuhësore dhe historiku i grupit në komprometimin e serverëve PHP dhe WordPress për të instaluar një web shell ose për t'i përdorur ata për trafik command-and-control. CYFIRMA tha se operatorët po diskutonin përparësitë e objektivave dhe po përshtatnin exploits publike, por raporti i saj përshkruante skanim dhe përgatitje, jo exploitation të konfirmuar të 216 host-eve të renditur.
Një problem i tretë, CVE-2026-115560, është bërë gjithashtu publik nga PHP Foundation. remote code execution kërkon një kombinim të pazakontë të sjelljes dhe konfigurimit të aplikacionit: session.serialize_handler duhet të përdorë fillimisht php_binary ose php_serialize, aplikacioni duhet ta ndryshojë atë në php përmes ini_set() përpara se të thërrasë session_start(), ndërsa session upload progress duhet të mbetet i aktivizuar. Aplikacionet që nuk e ndryshojnë serialization handler gjatë ekzekutimit mund ta lënë upload progress të aktivizuar. PHP Foundation pret që problemi të trajtohet përmes ciklit të rregullt të publikimeve.
Xint ka publikuar një scanner për ekspozimin ndaj PHP2Shell dhe thotë se remote code execution mund të prekë çdo script PHP, pavarësisht aplikacionit, si edhe aplikacionet që kryejnë decoding përmes funksioneve të tilla si session_start() dhe unserialize(). Matjet e Bitsight në të gjithë internetin gjetën afro 37 milionë sisteme publike që ekzekutonin PHP ose software të lidhur me të, me përqendrimet më të mëdha në SHBA, Gjermani, Francë, Holandë dhe Japoni. Për shkak se këto dobësi ndodhen në vetë PHP runtime, ndryshimi i kodit të aplikacionit, instalimi i një përditësimi plugin ose mbështetja te një web application firewall nuk e heq dobësinë themelore. PHP duhet të përditësohet në host.
Prandaj, pronarët e faqeve duhet të verifikojnë PHP runtime që përdoret nga çdo faqe dhe aplikacion, jo vetëm të përditësojnë WordPress ose extensions e tij. Për pronarët që duan që menaxhimi të kryhet për ta, AEU Hosting ofron managed WordPress hosting, të siguruar end to end. Pavarësisht nëse PHP menaxhohet nga vetë përdoruesi apo ofrohet nga një ofrues hostimi, përparësitë e menjëhershme janë përditësimi i tij dhe shqyrtimi i logs për sekuencën e gabimeve dhe modelet e sondimit të dokumentuara nga studiuesit.