W sieci odnotowano próby wykorzystania nowo odkrytych podatności PHP2Shell do infekowania serwerów wariantem botnetu Mirai, znanym jako Potassium. Ataki celują w luki CVE-2026-109618 oraz CVE-2026-109619, które pozwalają na zdalne wykonanie kodu (RCE) bez uwierzytelnienia poprzez specjalnie przygotowane zapytania HTTP. Choć próby są masowe, obecnie nie udaje się im skutecznie przejąć kontroli nad systemami, co sugeruje trudności w opracowaniu stabilnego exploita.
Malware Potassium to rozbudowana wersja Mirai, która potrafi przeprowadzać ataki DDoS (ICMP, TCP, UDP, OpenVPN) oraz posiada funkcje przesyłania ładunków w formacie Linux ELF. W kodzie zidentyfikowano zaawansowane mechanizmy, takie jak szyfrowanie konfiguracji algorytmem ChaCha20 oraz możliwość komunikacji z infrastrukturą C2 poprzez Ethereum Name Service (ENS), co może utrudnić blokowanie ataków w przyszłości.
Analiza narzędzi używanych przez napastników wykazała istnienie skryptów przygotowujących atak, takich jak aslrexploit.py. Narzędzie to próbuje obejść mechanizm ASLR poprzez wyciek adresów pamięci za pomocą ciasteczek sesji, a następnie nadużywa obsługi postępu przesyłania sesji w PHP do wykonania komend systemowych. Atakujący skanują internet w poszukiwaniu konkretnych konfiguracji serwerów i wersji PHP, które spełniają wymagania exploita.
