Zespół Searchlight Cyber opracował php2shell-scanner, czyli narzędzie open-source służące do weryfikacji podatności na błędy CVE-2026-109618 oraz CVE-2026-109619. Luka ta pozwala na zdalne wykonanie kodu (RCE) przed uwierzytelnieniem w aplikacjach korzystających z Apache modphp lub PHP-FPM przy domyślnych konfiguracjach. Problem dotyczy popularnych systemów, takich jak WordPress, Drupal, Joomla, phpMyAdmin czy Magento.
Autorzy narzędzia zauważyli, że standardowe skanery często zawodzą, ponieważ opierają się jedynie na sprawdzaniu wersji oprogramowania, co nie gwarantuje faktycznej podatności. Nowy skaner działa inaczej: celowo wywołuje stan wyczerpania pamięci (OOM), aby sprawdzić, czy interpreter PHP pozostawia referencje do zwolnionej pamięci, co otwiera drogę do ataku. Proces detekcji obejmuje wysyłanie specjalnie przygotowanych zapytań multipart z głęboko zagnieżdżonymi kluczami tablic.
Wykrywanie tej luki jest ryzykowne, ponieważ wymaga celowego doprowadzenia do błędu pamięci, co może skutkować chwilowym restartem procesów PHP-FPM. Mimo to badacze uznali to za jedyną skuteczną metodę weryfikacji. Narzędzie pozwala na precyzyjne testowanie konkretnych środowisk za pomocą flagi --sapi oraz automatycznie sprawdza ścieżki typowe dla phpMyAdmin.
