PHP2Shell përfshin dy dobësi kritike në PHP, CVE-2026-109618 dhe CVE-2026-109619, secila me vlerësim 9.2 në shkallën CVSS v4. Ato mund t’i lejojnë një sulmuesi të paautentikuar të ekzekutojë kod në server. Korrigjimet u publikuan më 21 tetor në versionet 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35.
Përditësimi i PHP-së është e vetmja zgjidhje e plotë; përditësimet e WordPress, shtojcave, temave apo framework-eve nuk e korrigjojnë atë. Në Apache me mod_php, një shfrytëzim i demonstruar aktivizohet me një kërkesë të vetme, para ekzekutimit të kodit të aplikacionit, duke anashkaluar mbrojtjet në atë nivel.
Instalimi i paketës nuk mjafton. Proceset PHP-FPM, proceset Apache kur përdoret mod_php dhe çdo proces tjetër PHP duhen rinisur, duke verifikuar se proceset e vjetra janë mbyllur. Për kontejnerët, imazhi duhet rindërtuar nga një bazë e korrigjuar dhe të vendoset sërish në përdorim; përndryshe rinisja mund të rikthejë versionin e cenueshëm.
Verifikimi duhet bërë në serverin që përpunon trafikun real dhe brenda kontejnerit aktiv, jo vetëm në mjedisin e testimit. Në Ubuntu dhe Debian, korrigjimet mund të integrohen pa ndryshuar numrin bazë që shfaq php -v. Në Ubuntu 24.04, paketa e korrigjuar është 8.3.6-0ubuntu0.24.04.13; duhen kontrolluar versioni i paketës dhe regjistri i ndryshimeve, ku përmenden të dyja CVE-të.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
