CISA bekräftar att PHP2Shell-brister utnyttjas i attacker

USA:s cybersäkerhetsmyndighet CISA har lagt till två kritiska PHP-sårbarheter, som tillsammans spåras under namnet PHP2Shell, i sin katalog över kända utnyttjade sårbarheter. CISA har beordrat myndigheter inom den federala civila förvaltningen att säkra sina system senast på torsdag enligt Binding Operational Directive 26-04.

Sårbarheterna CVE-2026-109618 och CVE-2026-109619 kan låta angripare utan behörighet köra kod på distans på oparkerade system. PHP:s säkerhetsteam släppte rättningar onsdagen den 21 oktober. Innan uppdateringarna blev tillgängliga läckte detaljer och proof-of-concept-exploateringar publicerades på nätet, men PHP-teamet uppgav att ingen av dem fungerade. Flera cybersäkerhetsföretag rapporterade exploateringsförsök före den offentliga informationen och beskrev dem som misslyckade. Amazon Threat Intelligence-forskare sade att angreppen började fyra dagar innan rättningarna släpptes.

Under helgen bekräftade Perplexitys chef för upptäckt och incidenthantering, Adel Karimi, exploatering i verkliga attacker efter att företagets honeypots registrerat fjärrkörning av kod mot en Apache mod_php-installation med PHP 8.4.26. CISA har inte lämnat fler uppgifter om attackerna.

Separat offentliggjorde PHP:s säkerhetsteam på fredagen en annan sårbarhet för fjärrkörning av kod, CVE-2026-115560, som saknade en rättning. Den berör system med en ovanlig kombination av konfiguration och programkod.

VirusTotal uppskattar att PHP driver ungefär 70 % av alla webbplatser. Över 5,1 miljoner PHP-värdar är exponerade på nätet, och omkring 3,8 miljoner instanser har minst en port öppen för attacker.