Wydano krytyczne poprawki dla PHP, eliminujące dwie luki znane jako PHP2Shell (CVE-2026-109618 oraz CVE-2026-109619). Podatności te, o wysokim wskaźniku CVSS wynoszącym 9.2, pozwalają nieautoryzowanym napastnikom na zdalne wykonanie dowolnego kodu (RCE) oraz odczyt wrażliwych danych z pamięci procesu, takich jak klucze API czy poświadczenia. Problemy wynikają z błędów w zarządzaniu pamięcią oraz obsłudze błędów, co czyni je wyjątkowo trudnymi do naprawienia.
Ataki są już obserwowane w sieci, przy czym napastnicy wykorzystują m.in. ścieżkę przesyłania postępów sesji (session upload-progress). Zagrożenie jest masowe, ponieważ dotyczy samego silnika PHP, a nie konkretnych systemów CMS, co oznacza, że nawet bezpieczny kod aplikacji WordPress, Drupal czy Joomla może być podatny, jeśli serwer korzysta z niezaktualizowanej wersji PHP. Luka dotyczy niemal wszystkich wersji, aż do 5.4.
Fundacja PHP wydała poprawki dla wersji 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35, a także wsteczne porty dla starszych gałęzi. Eksperci ostrzegają, że mimo pojawienia się łatek, napastnicy mogą wciąż szukać nowych wektorów ataku. Zaleca się natychmiastową aktualizację wszystkich środowisk PHP, w tym PHP-FPM, Apache z modphp, php-cgi oraz LiteSpeed.
