PHP2Shell probes kalojnë 74,000 pa asnjë komprometim të konfirmuar
Sulmet PHP2Shell kanë prodhuar më shumë se 74,000 përpjekje exploit ose reconnaissance, sipas Wordfence, megjithëse kompania nuk ka konfirmuar se ndonjë faqe web është komprometuar përmes dy dobësive themelore të PHP. Projekti PHP publikoi përditësime urgjente më 21 tetor 2026 për dobësitë kritike CVE-2026-109618 dhe CVE-2026-109619. Wordfence e bazon vlerësimin e vet në telemetrinë nga më shumë se 5,000,000 faqe WordPress të mbrojtura dhe thotë se po zgjeron monitorimin. Zgjidhja e kërkuar është PHP 8.5.12, 8.4.27, 8.3.36 ose 8.2.35, ose një paketë e furnizuesit për të cilën konfirmohet shprehimisht se përfshin të dyja rregullimet. Administratorët duhet më pas të rinisin çdo PHP worker, që është një proces që trajton kërkesat e faqes web. Përditësimi i WordPress nuk përditëson software-in e veçantë PHP që funksionon pas tij.
Një grup i madh sulmesh dërgoi kërkesa multipart/form-data, një format web që e ndan një ngarkim në disa seksione të emërtuara. Kërkesat përfshinin një identifikues sesioni, veçorinë PHP_SESSION_UPLOAD_PROGRESS dhe fusha të përsëritura të emërtuara nga t[0] deri të paktën në t[136]. Wordfence hoqi 134 prej këtyre fushave kur publikoi shembullin e vet. Të dhënat e përsëritura dukej se ishin krijuar për të ushtruar presion mbi memorien dhe për të ndikuar në mënyrën se si PHP caktonte memorien për kërkesën. Vargjet e përfshira përmbanin marker-in e command execution P2S_OK, emrin e funksionit system dhe komanda të synuara për të shfaqur hollësitë e serverit dhe për të lexuar 200 byte-t e parë të .env, ../.env, ../../.env dhe wp-config.php. Këta skedarë mund të përmbajnë environment variables, domethënë vlera konfigurimi që i jepen një aplikacioni, si dhe kredenciale të bazës së të dhënave dhe sekrete të tjera. Kërkesa tregon qëllimin, por në vetvete nuk mund të dëshmojë se memoria është korruptuar ose se një komandë është ekzekutuar me sukses.
Wordfence shqyrtoi gjithashtu 10,000 ngjarje të mbledhura nga 20 deri më 22 tetor. Mostra u përzgjodh qëllimisht rreth kërkesave që përmendnin PHP_SESSION_UPLOAD_PROGRESS, prandaj nuk përfaqëson të gjithë trafikun keqdashës web. Ajo përmbante 3,752 përpjekje të dukshme PHP2Shell të llojit memory-pressure ose state-corruption, të synuara për command execution dhe vjedhje të konfigurimit. Edhe 1,139 të tjera përdorën Laravel serialized-object gadget chains, sekuenca që përpiqen të keqpërdorin klasa tashmë të instaluara në një aplikacion për të ekzekutuar një shell command. Edhe 2,534 të tjera provuan objekte të serializuara të lidhura me Monolog, Symfony, Guzzle, WordPress, ThinkPHP dhe klasa të tjera. Këto kategori përshkruajnë karakteristikat e payload dhe mund të mbivendosen.
E njëjta mostër përfshinte 512 përpjekje NxSP session-file poisoning. Ato përpiqen të vendosin përmbajtje keqdashëse në një skedar të përkohshëm sesioni dhe ta kombinojnë atë me një local-file-inclusion flaw të veçantë, që është një dobësi e cila i lejon një aplikacioni të ngarkojë një skedar lokal që nuk duhet ta ekspozojë. Tridhjetë kërkesa përmbanin out-of-band PHP upload canaries, teste që presin një callback të veçantë përmes internetit për të treguar nëse ka funksionuar një metodë tjetër ngarkimi ose ekzekutimi. Wordfence paralajmëron se trafiku NxSP dhe canary përdor të njëjtën zonë multipart ose upload-progress, por varet nga dobësi të veçanta ose nga sjellja e aplikacionit. Prandaj, ai nuk duhet trajtuar si shfrytëzim i konfirmuar i ndonjërës prej CVE-ve të reja. Dataset përmban kërkesa dhe jo përgjigje ose prova të drejtpërdrejta nga serverët e synuar, ndaj çdo numërim mat përpjekjet, jo ndërhyrjet e suksesshme.
Në të gjitha payload e vëzhguara, sulmuesit u përpoqën të konfirmonin ekzekutimin me P2S_OK, NxSP të ndjekur nga shifra dhe SHL_OK. Komanda si id, uname -a dhe hostname do të krijonin profilin e një serveri. Veprime të tjera kërkonin sekrete në environment variables, .env dhe wp-config.php, kontrollonin direktoritë e zakonshme të content-management-system dhe përpiqeshin të krijonin skedarë komandash të qëndrueshëm me emrin wp2s.php në vendndodhje upload, plugin ose theme ku lejohej shkrimi. Disa kërkesa u përpoqën të shkarkonin dhe ekzekutonin një payload tjetër me curl, wget dhe një shell interpreter. Të tjera përdorën hostname unikë nën oast.pro, oast.fun dhe oast.online për një out-of-band callback, që është një lidhje nga serveri i synuar drejt një shërbimi të jashtëm. Tregues të tjerë mbrojtës përfshijnë ADV618BOUNDARY, ----P2SB, php2shell.php, axiom_*.php dhe emrat e klasave Illuminate\Broadcasting\PendingBroadcast, Monolog\Handler\BufferHandler dhe Requests_Utility_FilteredIterator.
20 adresat burimore më aktive ishin 87.121.84.174 me 8,525 përpjekje të bllokuara, 181.215.186.252 me 7,856, 185.196.220.132 me 7,146, 185.161.210.29 me 5,796, 152.233.51.69 me 5,317, 45.134.225.16 me 3,623, 107.189.14.87 me 2,365, 193.47.62.24 me 2,263, 2409:40d2:204e:4be:2a1f:f9c9:a055:e00b me 1,953 dhe 103.147.220.17 me 1,860. Adresat e mbetura ishin 143.246.223.124 me 1,791, 52.74.54.75 me 1,260, 65.49.200.56 me 836, 193.142.147.111 me 775, 85.137.56.188 me 672, 85.137.53.26 me 664, 167.254.242.130 me 648, 217.112.152.168 me 619, 203.78.119.133 me 616 dhe 140.245.32.169 me 616.
Nëse shfrytëzimi funksionon apo jo, mbetet i ndjeshëm ndaj konfigurimit të PHP, Server Application Programming Interface (SAPI) që lidh PHP me web server, extensions të instaluara, klasave të disponueshme të aplikacionit dhe gjendjes aktuale të një PHP worker. Wordfence kishte arritur më parë code execution gjatë testimit të CVE-2026-109619 në një laborator Apache të konfiguruar posaçërisht duke përdorur PHP 8.5.11. I njëjti proof of concept shkaktoi crash në një build PHP 8.5.11 të optimizuar normalisht, ndërsa PHP 8.5.12 mbeti funksional. Për CVE-2026-109618, testimi i tij riprodhoi sjellje të ndryshme ndërmjet versioneve të cenueshme dhe atyre të rregulluara, por nuk arriti në mënyrë të pavarur code execution. Trafiku production i analizuar rishtazi nuk i ndryshon këto gjetje laboratorike dhe as nuk dëshmon një exploit të suksesshëm në botën reale.
Konfirmimi i një komprometimi do të kërkonte prova nga përgjigjet, skedarët, proceset, PHP worker që kanë pësuar crash, kërkesat Domain Name System ose lidhjet web dalëse në serverin e synuar. Wordfence thekson se mungesa e një konfirmimi të tillë në telemetrinë e tij nuk e bën të sigurt një sistem ku nuk është aplikuar patch, sepse dështimet dhe callback mund të ndodhin jashtë WordPress dhe logs të tij. Operatorët e faqeve që dyshojnë për komprometim duhet t’i ruajnë provat përkatëse; Wordfence gjithashtu ftoi dërgimin e materialeve në samples@wordfence.com. Klientët e Wordfence Care dhe Wordfence Response mund të kontaktojnë ekipin e tij të incident response, ndërsa kompania deklaron se Response është i disponueshëm 24/7/365 me një kohë përgjigjeje prej një ore. Për pronarët e faqeve që shqyrtojnë se si përshtatet shtresa hosting në mbrojtjen e tyre, AEU Hosting ofron managed WordPress hosting të siguruar nga skaji në skaj. Pavarësisht mënyrës së hosting, detyra e menjëhershme është të verifikohet shërbimi PHP pas çdo faqeje web, të instalohet një version që përmban të dyja rregullimet dhe të rinisen të gjitha proceset PHP worker.