Agencja CISA oficjalnie potwierdziła, że luki PHP2Shell są aktywnie wykorzystywane przez napastników. Obie podatności, oznaczone jako CVE-2026-109618 oraz CVE-2026-109619, posiadają bardzo wysoki wskaźnik krytyczności CVSS wynoszący 9.2. Pozwalają one na zdalne wykonanie kodu (RCE) bez konieczności uwierzytelnienia w dotkniętych systemach.
Pierwsza z luk to błąd przepełnienia pamięci, natomiast druga wynika z nieprawidłowego stanu wewnętrznych żądań. Eksperci potwierdzili, że ataki nie kończą się jedynie na awarii procesu, ale pozwalają na realne wycieki pamięci i skuteczne przejęcie kontroli nad serwerem. Problem dotyczy ogromnej liczby usług, szacowanej na ponad 32 miliony.
Dodatkowo wykryto problem w bibliotece Brotli (znany jako Broccoli2Shell), który może prowadzić do eskalacji uprawnień. W środowiskach Windows podatność ta jest dostępna poprzez rozszerzenie cURL, jeśli włączona jest automatyczna dekompresja odpowiedzi HTTP. Producent zaleca pilną aktualizację PHP oraz bibliotek Brotli.
