Wykryto próby wykorzystania dwóch krytycznych podatności w jądrze PHP, znanych jako PHP2Shell (CVE-2026-109618 oraz CVE-2026-109619). Błędy te, o wysokiej ocenie CVSS wynoszącej 9.2, pozwalają napastnikom na zdalne wykonanie kodu (RCE) bez konieczności uwierzytelnienia. Dotyczy to wszystkich wersji PHP z serii 7.x oraz 8.x.
Ataki są wyjątkowo trudne do wykrycia, ponieważ nie pozostawiają śladów w logach aplikacji ani nie wymagają przełamywania sesji. Jedynym możliwym sygnałem w logach serwera WWW może być błąd krytyczny związany z limitem pamięci (memory-limit fatal), który często jest ignorowany jako szum. Eksploatacja dotyczy mechanizmów zarządzania pamięcią i obsługi błędów, co czyni ją niezależną od używanego CMS-a czy frameworka.
Informacje o lukach wyciekły przed planowanym terminem embargo, co umożliwiło napastnikom analizę poprawek w formie binarnej jeszcze przed ich oficjalną publikacją. Eksperci z Amazon, Cloudflare i CrowdStrike ostrzegają przed masową skalą zagrożenia, biorąc pod uwagę, że PHP napędza blisko 70% stron internetowych.
Zaleca się natychmiastową aktualizację PHP do najnowszych wersji posiadających poprawki. W przypadku braku możliwości szybkiego patchowania, organizacje powinny rozważyć wyłączenie podatnych usług lub wdrożenie rygorystycznego monitorowania procesów serwera pod kątem nieoczekiwanych wywołań powłoki (shell) lub pobierania plików.
