Исследователи подтвердили успешную эксплуатацию двух критических уязвимостей PHP2Shell, которые позволяют удалённо выполнять команды на уязвимых серверах без предварительной авторизации. В частности, подтверждён случай атаки на систему с Apache mod_php и PHP 8.4.26, зафиксированный руководителем направления обнаружения угроз и реагирования на инциденты и его серверы‑ловушки. До этого специалисты фиксировали попытки атак, но не могли подтвердить факт выполнения вредоносного кода.

В ходе атаки злоумышленник получил около 800 КиБ данных из памяти процесса и воспользовался извлечённым адресом функции для подготовки следующего этапа атаки. По сообщениям исследователей, после отправки последнего байта соответствующего запроса сервер выполнил команду оболочки примерно через 1,6 мс. Эти детали подтверждены независимыми экспертами.

Уязвимости CVE-2026-109618 и CVE-2026-109619, объединённые под названием PHP2Shell, были исправлены командой PHP 21 октября. До выпуска обновлений сведения об уязвимостях и некоторые демонстрационные эксплойты появлялись в открытом доступе, однако сами разработчики утверждали, что опубликованные варианты не работали. Тем временем зафиксированы попытки атак со стороны компаний Cloudflare, Hadrian, watchTowr, Previdian и Patchstack, при этом ранее они не приводили к успешной эксплуатации.

Оценки уязвимости не ограничиваются конкретной платформой: по данным VirusTotal, PHP используется примерно на 70% сайтов в интернете, а более 5,1 млн хостов находятся в открытом доступе, из них около 3,8 млн имеют хотя бы один порт, доступный для потенциальных атак. В этом контексте успешная атака по PHP2Shell создаёт угрозу для значительного числа серверов, работающих на этой технологии.