Wykryto dwie krytyczne podatności o nazwie PHP2Shell (CVE-2026-109618 oraz CVE-2026-109619), które pozwalają atakującym na zdalne wykonanie kodu (RCE) na serwerach WWW. Atak może nastąpić przed uruchomieniem jakiegokolwiek kodu aplikacji, co czyni go wyjątkowo niebezpiecznym. Problem dotyczy szerokiego spektrum środowisk, w tym PHP-FPM, Apache z modphp, php-cgi, FrankenPHP oraz LiteSpeed, przy czym konfiguracje z modphp są najbardziej narażone.
Pierwsza luka wynika z błędów w obsłudze braku pamięci (OOM), co prowadzi do korupcji danych podczas czyszczenia niepełnie zainicjalizowanych żądań. Druga dotyczy przetrwania nieaktualnego stanu globalnego w pamięci po zwolnieniu jej przez proces, co pozwala kolejnemu żądaniu na wykorzystanie błędnych danych. Eksperci ostrzegają przed masową skalą incydentów, szczególnie w przypadku zapomnianych lub nieutrzymywanych aplikacji.
Aby zabezpieczyć systemy, należy niezwłocznie zaktualizować PHP do wersji 8.5.12, 8.4.27, 8.3.36 lub 8.2.35. W przypadku starszych wersji, które nie mają już oficjalnego wsparcia, zaleca się sprawdzenie poprawek u dostawców dystrybucji Linux lub samodzielne skompilowanie kodu z udostępnionych backportów bezpieczeństwa.
