Agjencia amerikane e Sigurisë Kibernetike dhe Infrastrukturës (CISA) shtoi në katalogun KEV dy dobësi PHP2Shell, duke konfirmuar shfrytëzimin e tyre aktiv. Të dyja kanë vlerësim 9.2 në CVSS dhe mundësojnë ekzekutim kodi në distancë pa autentikim në instalimet e prekura.
Adel Karimi, drejtues i zbulimit dhe reagimit ndaj incidenteve në Perplexity, konfirmoi më 24 tetor 2026 ekzekutim të suksesshëm kodi në sisteme honeypot, si dhe zbulim të të dhënave nga memoria. Provat vlejnë për një konfigurim qëllimisht të favorshëm mod_php me një proces punues, jo për besueshmërinë e sulmit në konfigurime të tjera.
Dobësitë u korrigjuan në PHP 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35, të publikuara më 21 tetor 2026. Agjencitë federale amerikane kanë afat deri më 29 tetor 2026 për përditësimet. Sipas Censys, mbi 32.51 milionë shërbime PHP përdorin ende versione të prekura.
Më 26 tetor 2026, PHP Foundation publikoi edhe versione për Windows që korrigjojnë CVE-2026-111497 në dekoduesin Brotli. Kjo dobësi mund të shkaktojë ngritje privilegjesh dhe ekzekutim kodi në distancë pa autentikim. Në PHP për Windows, dekoduesi i cenueshëm mund të arrihet përmes shtesës cURL kur aktivizohet dekompresimi automatik i përgjigjeve HTTP; ky funksion është i çaktivizuar si parazgjedhje.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
