Sistemi honeypot MadPot i Amazon regjistroi një tentativë shfrytëzimi të PHP2Shell më 17 tetor 2026, katër ditë para publikimit të përditësimit korrigjues. Sipas Amazon, mbetet e paqartë se si sulmuesi i siguroi informacionet për shfrytëzimin.
PHP2Shell është emri që Wiz u dha dy cenueshmërive të sigurisë së memories në motorin PHP: CVE-2026-109618 dhe CVE-2026-109619. Secila vlerësohet me 9.2 sipas CVSS v4.0 dhe mundëson ekzekutimin e kodit në distancë nga sulmues pa autentikim. Kodi i cenueshëm daton që nga PHP 5.4, më 2012. Wiz demonstroi sulme funksionale ndaj versioneve aktuale të WordPress, Drupal dhe Joomla.
Tri palë të pavarura raportuan të njëjtën dobësi bazë te ekipi i sigurisë së PHP-së mes 11 gushtit dhe 18 shtatorit. Identifikuesit CVE rrodhën më 20 tetor, duke e përshpejtuar publikimin me një ditë, më 21 tetor. Korrigjimet u përfshinë në versionet 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35.
Rasti nxjerr në pah kufizimin e matjes së ekspozimit vetëm nga data e publikimit të cenueshmërisë: sulmuesit kishin nisur përpjekjet para se të ekzistonte një korrigjim publik. PHP përdoret nga rreth 70% e faqeve për të cilat njihet gjuha në anën e serverit; edhe një aplikacion minimal në një version të prekur ishte i ekspozuar.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
