Badacze potwierdzili, że luki PHP2Shell (CVE-2026-109618 oraz CVE-2026-109619) są realnie wykorzystywane do zdalnego wykonywania kodu (RCE). Do tej pory odnotowywano głównie próby skanowania, jednak nowe dane wskazują na udane ataki. W badanych systemach honeypot zarejestrowano 35 uruchomionych shelli pochodzących z zaledwie dwóch adresów IP.
Mechanizm ataku opiera się na czterostopniowym łańcuchu żądań HTTP. Pierwsze kroki służą do wyczerpania pamięci PHP oraz wycieku jej zawartości, co pozwala na obejście zabezpieczeń ASLR. Ostatni etap umożliwia bezpośrednie wykonanie komend systemowych. Atakujący nie korzystali przy tym z pobierania dodatkowych payloadów w drugim etapie.
Eksploatacja została zaobserwowana w środowisku z pojedynczym procesem worker (modphp pod Apache). Badacze zaznaczają jednak, że skuteczność tego konkretnego łańcucha może się różnić w zależności od konfiguracji serwera, liczby workerów czy używanej wersji PHP. PHP wydało poprawki dla tych podatności 21 października.
