Agenția americană pentru Securitate Cibernetică și Securitatea Infrastructurii (CISA) a adăugat două vulnerabilități critice PHP, cunoscute colectiv sub denumirea PHP2Shell, în catalogul său de probleme de securitate exploatate activ, avertizând că riscurile pentru infrastructura federală sunt semnificative.
Cele două vulnerabilități, identificate prin codurile CVE-2026-109618 și CVE-2026-109619, pot fi exploatate fără privilegii prealabile în cadrul unor atacuri de complexitate ridicată, permițând executarea de cod de la distanță (RCE) pe sistemele care nu au aplicat actualizările de securitate.
CISA a adăugat vulnerabilitățile în Catalogul Known Exploited Vulnerabilities (KEV) și a ordonat agențiilor civile federale din ramura executivă (FCEB) să își securizeze sistemele până joi, în conformitate cu Directiva Operațională Obligatorie 26-04.
„Aceste tipuri de vulnerabilități reprezintă un vector frecvent de atac pentru actorii cibernetici malițioși și prezintă riscuri semnificative pentru infrastructura federală”, a avertizat agenția.
Echipa de securitate PHP a lansat patch-urile pe 21 octombrie, cu o zi după ce alertase echipele de securitate să instaleze actualizările imediat ce acestea urmau să devină disponibile.
Totuși detaliile despre vulnerabilități – inclusiv identificatorii CVE și măsurile de mitigare comunicate furnizorilor de infrastructură critică – au devenit cunoscute înainte de lansarea patch-urilor, și exploit-uri de tip proof-of-concept au apărut online. Echipa PHP a precizat că niciunul dintre exploit-uri nu era funcțional.
Mai multe companii de securitate cibernetică, printre care Cloudflare, Amazon, watchTowr, Previdian, Hadrian, și Patchstack au detectat tentative de exploatare pe scară largă înainte de divulgarea publică, însă toate le-au catalogat drept eșuate.
Însă Amazon Threat Intelligence a raportat că atacatorii înceseră să vizeze vulnerabilitățile PHP2Shell cu patru zile înainte de lansarea patch-urilor.
Prima confirmare a exploatării reale a venit de la Adel Karimi, responsabil cu detecția și răspunsul la incidente în cadrul Perplexity, care a anunțat în cursul weekendului că honeypot-urile companiei au înregistrat dovezi de execuție de cod la distanță împotriva unei instalări Apache mod_php care rula PHP 8.4.26.
CISA nu a furnizat până în prezent detalii suplimentare despre atacurile PHP2Shell în curs.
Amploarea potențială a problemei este considerabilă pentru că PHP alimentează aproximativ 70% din totalul site-urilor web, cu peste 5,1 milioane de host-uri PHP expuse online și circa 3,8 milioane de instanțe cu cel puțin un port deschis atacurilor, conform estimărilor VirusTotal.
Situația este complicată suplimentar de o nouă vulnerabilitate RCE, CVE-2026-115560, pentru care echipa PHP a publicat vineri măsuri de mitigare, fără a exista deocamdată un patch disponibil.
Vulnerabilitatea poate fi exploatată pe sisteme cu „o combinație neobișnuită de configurație și cod de aplicație”, potrivit echipei PHP.
Agenția americană a subliniat că, deși directiva sa se aplică exclusiv agențiilor federale, toate organizațiile sunt încurajate să prioritizeze remedierea vulnerabilităților din catalogul KEV.
