Dy dobësi në motorin PHP, CVE-2026-109618 dhe CVE-2026-109619, të quajtura bashkë PHP2Shell, prekën versionet e dekadës së fundit, deri te 5.4. Me nivel rreziku deri në CVSS 9.2, ato ndodhen në mjedisin e ekzekutimit, jo në aplikacione të veçanta. PHP përdoret nga rreth 70% e faqeve në internet.
Dobësitë lidhen me menaxhimin e gabimeve fatale, veçanërisht kur shteron memoria. Ato mund t’u lejojnë sulmuesve pa autentikim të lexojnë memorien e proceseve PHP, ku mund të ketë fjalëkalime, tokenë autentikimi, çelësa API dhe certifikata. Wiz demonstroi edhe ekzekutim kodi në distancë pa autentikim në WordPress, Drupal dhe Joomla, duke theksuar se çdo aplikacion PHP mund të jetë objektiv.
Më 21 tetor, ekipi PHP publikoi përditësime emergjente: 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35. CISA kërkoi instalimin e menjëhershëm të tyre, ndërsa BBC raportoi ndërprerje faqesh për mirëmbajtje emergjente. Të nesërmen, Unit 42 e Palo Alto Networks kishte vërejtur sulme aktive.
Sipas Wiz Research, tre agjentë AI — Gemini 4 Argon i Google, GPT-5.6 Sol i OpenAI dhe Atlas i Wiz — ndihmuan në identifikimin dhe lidhjen e dobësive, si dhe në testimin e korrigjimin e exploiteve funksionale në disa aplikacione. Puna u krye brenda disa orësh; studiuesit thonë se më parë do të kërkonte muaj.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
