Sulmuesit kanë shfrytëzuar dobësitë kritike PHP2Shell për të ekzekutuar komanda shell në serverë honeypot, sipas studiuesit të Perplexity, Adel Karimi. CVE-2026-109618 dhe CVE-2026-109619 mundësojnë ekzekutim kodi në distancë pa autentikim. PHP i korrigjoi më 21 tetor, pasi disa informacione dolën në internet. Tentativat nisën përpara korrigjimeve dhe që atëherë janë regjistruar miliona të tilla.
Më 24 tetor, sensorët e Karimit regjistruan 35 shell-e në tre honeypot-e: një adresë IP hapi tre në një server, ndërsa një tjetër hapi 32 në të tre. Serverët përdornin PHP 8.4.26 me Apache mod_php dhe një proces të vetëm punues. Monitorimi fillestar prej mbi 26 orësh kishte evidentuar gabime nga shterimi i memories dhe rrëzime procesesh, por jo ekzekutim kodi.
Sulmi përdori një zinxhir me katër faza kërkesash HTTP për të shteruar memorien, zbuluar përmbajtjen e saj dhe ekzekutuar një komandë shell. Trafiku përputhej ngushtë me një exploit demonstrues publik (PoC). Sipas Karimit, aktiviteti është në përputhje me shfrytëzimin e CVE-2026-109618.
Karimi theksoi se rezultatet vlejnë për konfigurimin qëllimisht të favorshëm me një proces punues, jo si matje besueshmërie për konfigurime të tjera. CISA deklaronte më 23 tetor se nuk kishte vërejtur shfrytëzim të suksesshëm; deri në mëngjesin e 26 tetorit, dobësitë nuk ishin përfshirë në katalogun e saj KEV.
Burimi: SecurityWeek — lexoni artikullin e plotë në anglisht.
