Përditësimi i PHP2Shell caktohet për dy dobësi kritike PHP RCE
PHP2Shell është emri që kërkuesit u kanë dhënë dy dobësive kritike të PHP-së, për të cilat watchTowr thotë se mund të mundësojnë remote code execution (RCE), që do të thotë se një sulmues mund të jetë në gjendje të ekzekutojë komanda nga larg në një server të cenueshëm. PHP caktoi një publikim sigurie jashtë ciklit për në orën 14:00 UTC më 21 tetor dhe i vlerësoi të dyja dobësitë me 9.2 sipas versionit 4.0 të Common Vulnerability Scoring System (CVSS), një shkallë standarde për vlerësimin e rëndësisë së dobësive. Në kohën e shkrimit, përditësimi nuk ishte publikuar dhe PHP nuk kishte bërë të ditura versionet e prekura, shkakun teknik, konfigurimin e kërkuar ose versionet e rregulluara.
Njoftimi emergjent pasoi një postim të 20 tetorit në Hacker News, i cili pretendonte se dy dobësi RCE preknin çdo version të PHP-së duke filluar nga PHP 5. Ai postim caktonte një rezultat CVSS prej 10.0, shënonte 22 tetorin si datën e pritshme të publikimit të hollësive dhe nuk ofronte prova mbështetëse. watchTowr tha më pas se ekzistenca e dobësive nën embargo ishte e vërtetë, por nuk publikoi hollësi teknike. PHP publikoi njoftimin e vet në orën 19:33 UTC atë mbrëmje dhe e caktoi përditësimin një ditë më herët se data në rrjedhjen e informacionit. Njoftimi thoshte gjithashtu se publikimi mund të përshpejtohej nëse hollësitë e dobësive bëheshin publike ose nëse shfaqeshin prova të sulmeve aktive.
Kërkuesit po përdorin identifikuesit CVE-2026-109618 dhe CVE-2026-109619, të cilët u shfaqën të dy në postimin e rrjedhur. Njoftimi i PHP-së nuk përmendte asnjërin identifikues, prandaj lidhja e tyre zyrtare me dobësitë nuk ishte konfirmuar aty. Pretendimi i rrjedhjes se të gjitha release që nga PHP 5 janë të cenueshme ishte gjithashtu i pakonfirmuar. Faqja e pyetjeve të shpeshta e watchTowr thoshte se asnjë këshillim zyrtar i vendor-it nuk e kishte përcaktuar atë shtrirje dhe se nuk ishte përshkruar asnjë veçori ose konfigurim i kërkuar i PHP-së. Edhe emërtimi PHP2Shell vjen nga kërkuesit dhe jo nga PHP.
Vetëm katër branch-et e PHP-së me support, nga 8.2 deri në 8.5, mund të marrin rregullime. Trackers të cituar para publikimit prisnin përditësime me numrat PHP 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35, por PHP nuk i kishte konfirmuar këto versione. Më 24 shtator, release aktuale ishin 8.5.11, 8.4.26, 8.3.35 dhe 8.2.34. PHP 8.5 ishte në active support deri më 31 dhjetor 2027, ndërsa PHP 8.4 ishte në active support deri më 31 dhjetor 2026. PHP 8.3 merrte vetëm security support deri më 31 dhjetor 2027 dhe PHP 8.2 deri më 31 dhjetor 2026.
PHP 8.1, 8.0, të gjitha release 7.x dhe të gjitha release 5.x janë end of life, që do të thotë se PHP nuk ofron më përditësime sigurie për to. Nëse përfundimisht konfirmohet se dobësitë prekin këto branch-e, instalimet që ende i përdorin nuk do të marrin vendor patch. Kjo ka rëndësi të veçantë për faqet e vjetra, llogaritë e hosting-ut, control panels, pajisjet e vendor-ëve dhe aplikacionet Windows që mund të përfshijnë një instalim embedded të PHP-së, të cilin administratorët zakonisht nuk e shohin.
Kompania e sigurisë Mallory numëroi rreth 884.000 hosts të arritshëm nga interneti, HTTP banner i të cilëve — informacioni identifikues që mund të zbulojë një web server — raportonte PHP 8.1 ose më të vjetër në search engine Shodan më 20 tetor. Kjo përfaqësonte 59% të rreth 1,5 milion hosts që zbulonin një version të PHP-së. Edhe 740.000 hosts të tjerë raportonin se përdornin PHP, por nuk zbulonin versionin. Këto shifra përshkruajnë banners të dukshëm, jo sisteme të konfirmuara se përmbajnë ndonjërën nga dobësitë PHP2Shell, ndaj nuk mund të përcaktojnë numrin e serverëve të prekur.
PHP nuk kishte publikuar një workaround përpara release së planifikuar. Huntress rekomandoi identifikimin e çdo instalimi PHP, përfshirë kopjet e paketuara brenda pajisjeve, software Windows, cPanel dhe Plesk, dhe më pas përgatitjen për të përditësuar fillimisht sistemet e arritshme nga interneti. Administratorët duhet të kontrollojnë gjithashtu nëse Linux distribution ose ofruesi i hosting-ut furnizon një backported package, i cili zbaton një rregullim sigurie në një release më të vjetër të paketuar pa e zëvendësuar atë me release të plotë më të ri. Sistemet në një branch end of life duhet të përmirësohen, të hiqen nga qasja publike në internet ose të vendosen pas një virtual private network ose web application firewall derisa të mund të përditësohen. CERT-EU këshilloi gjithashtu të merrej në konsideratë izolimi nga rrjetet publike i aplikacioneve të ekspozuara publikisht, ndërkohë që nuk kishte një rregullim të disponueshëm.
Monitoring mund të ndihmojë në identifikimin e aktivitetit të dyshimtë, por nuk e zëvendëson patching. Administratorëve iu këshillua të krijonin alerts kur php-fpm, php-cgi, httpd ose apache2 nis command shells, interpreters ose download utilities. Një process-watcher utility i publikuar nga një kërkues mund të regjistrojë çdo program të nisur nga një proces PHP në Linux, së bashku me command line të tij, por e vëzhgon programin vetëm pasi nis ekzekutimi dhe nuk e bllokon atë. Nëse zbulohet aktivitet i dyshimtë, udhëzimet kërkojnë izolimin e serverit, ruajtjen e logs të PHP-së dhe web server-it, si dhe kontrollin për web shells, të cilat janë skedarë keqdashës që mundësojnë kontrollin në distancë të serverit, si edhe për skedarë të papritur në direktorinë e faqes, cron jobs të rinj, scheduled tasks ose llogari të reja.
Huntress tha se deri më 20 tetor nuk kishte vërejtur exploitation në mjediset e partnerëve, nuk kishte krijuar ose riprodhuar një proof of concept dhe nuk dinte për ndonjë exploit code publik. watchTowr po ashtu nuk renditi raste të raportuara exploitation deri më 21 tetor dhe tha se dobësitë nuk gjendeshin në katalogun Known Exploited Vulnerabilities të US Cybersecurity and Infrastructure Security Agency. Ky status mund të ndryshojë pasi hollësitë teknike të bëhen të disponueshme. Për krahasim, Akamai vërejti përpjekje për të shfrytëzuar CVE-2024-4577, një dobësi tjetër e PHP-së që prek CGI mode në Windows, kundër sistemeve të veta honeypot brenda 24 orëve pasi ajo dobësi u bë publike në qershor 2024.
Release zyrtare pritej të përcaktonte se cilat versione janë të cenueshme, cili PHP component është i përfshirë, nëse exploitation varet nga një operating mode, konfigurim ose login i caktuar dhe cilat release përmbajnë rregullimet. Pronarët e faqeve duhet t’i kërkojnë host-it ose administratorit të tyre të konfirmojë PHP branch të instaluar dhe statusin e përditësimit, në vend që të mbështeten në një interval versionesh të paverifikuar. Për pronarët e faqeve WordPress që kërkojnë operacione të menaxhuara, AEU Hosting ofron hosting të menaxhuar WordPress, të siguruar end to end. Derisa PHP të publikojë këshillimin përfundimtar, ekspozimi i saktë mbetet i pasigurt, por instalimet PHP pa support kërkojnë tashmë upgrade ose izolim, sepse nuk mund të marrin një rregullim nga vendor-i.