PHP: a treia RCE, CVE-2026-115560, fără patch; atacuri PHP2Shell

Pe 23 octombrie 2026, la două zile după patch-urile de urgență pentru PHP2Shell, echipa de securitate PHP a publicat un aviz informativ despre o a treia vulnerabilitate de execuție de cod de la distanță, CVE-2026-115560. Nu există încă o versiune corectată: va veni odată cu următoarea versiune obișnuită. Până atunci există o măsură de atenuare prin configurare, aceeași recomandată deja pe 21 octombrie pentru una dintre cele două vulnerabilități PHP2Shell.

Articolul nostru din 20 octombrie prezenta anunțul celor două vulnerabilități critice CVE-2026-109618 și CVE-2026-109619. În continuare, noutățile: a treia CVE, versiunile corectate publicate pe 21 octombrie și situația atacurilor.

CVE-2026-115560: condițiile

Potrivit avizului PHP, preluat de BleepingComputer, The Register și Security Affairs, și potrivit avizului KrCERT/CC din Coreea, vulnerabilitatea ține de gestionarea sesiunilor și poate fi exploatată doar dacă sunt îndeplinite toate aceste condiții:

1. în configurație, session.serialize_handler este setat la php_binary sau php_serialize;
2. aplicația îl readuce la php în timpul execuției cu ini_set(), înainte de a apela session_start();
3. session.upload_progress.enabled este activ, cum este implicit.

Proiectul PHP consideră această combinație puțin probabilă în utilizarea reală și de aceea o tratează în ciclul obișnuit, cu un aviz complet la următoarea versiune. Aplicațiile care nu schimbă serialize handler-ul în timpul execuției nu sunt expuse pe această cale, chiar dacă au upload progress activ.

Deocamdată, potrivit Security Affairs, PHP nu a indicat versiunile afectate, data corecției sau un scor de gravitate și nu a explicat dacă vulnerabilitatea are o cauză comună cu CVE-2026-109619. Versiunile din 21 octombrie nu o corectează. Niciuna dintre surse nu raportează atacuri împotriva acestei CVE.

PHP2Shell: patch-uri, încercări de exploatare și versiuni fără suport

Cele două vulnerabilități anunțate pe 20 octombrie, cunoscute acum ca PHP2Shell, sunt erori de siguranță a memoriei în motorul PHP (The Register), cu scor CVSS v4.0 de 9.2 și execuție de cod fără autentificare. Potrivit Security Affairs, codul defect datează din PHP 5.4, din 2012. Corecțiile au apărut pe 21 octombrie în PHP 8.5.12, 8.4.27, 8.3.36 și 8.2.35.

În privința exploatării, sursele sunt de acord asupra unui punct: la 23 octombrie nicio compromitere reușită nu a fost confirmată public. Încercările sunt însă numeroase:

• Amazon a observat primele încercări pe 17 octombrie, înainte de patch-uri, cu payload-uri și infrastructuri diferite care indică mai mulți actori (SecurityWeek, BleepingComputer, The Record);
• Cloudflare, potrivit Security Affairs, a numărat zeci de mii de încercări în cele 45 de minute de după dezvăluire și milioane până pe 22 octombrie;
• Sophos, Arctic Wolf, Hunt.io și Cobalt leagă o parte din încercări de botnet-uri de tip Mirai (Potassium), care încearcă să instaleze malware pentru atacuri DDoS; Sophos a retras o primă raportare a unei exploatări reușite.

Sursele diferă în privința fezabilității. Potrivit Sansec, citată de SecurityWeek, exploit-urile publice eșuează pe instalările cu setări implicite; Mandiant, citată de The Register, spune în schimb că a validat câteva PoC capabile de RCE pe instalări implicite cu mod_php, dar nu cu PHP-FPM. VulnCheck afirmă că are un exploit pentru CVE-2026-109618 care ocolește ASLR pe x86-64 cu afișarea erorilor dezactivată, configurația recomandată în producție; este rezervat clienților săi. SOCRadar a găsit pe un server al atacatorului un lanț de exploit-uri pentru PHP 8.4.26 pe Apache mod_php, încercat fără succes pe aproximativ douăzeci de site-uri.

Tehnica MITRE ATT&CK este T1190 (exploatarea aplicațiilor expuse pe internet). Sursele nu publică indicatori de compromitere.

Actualizările avansează încet. Potrivit datelor Censys preluate de The Record, pe 22 octombrie peste 41 de milioane de servicii PHP expuse pe internet rulau versiuni afectate și aproximativ 1 milion o versiune corectată. Qualys, pe baza datelor anonimizate ale clienților săi, estimează că 71% dintre instanțe folosesc ramurile 5.4–8.1, fără suport, care în mare parte nu vor primi patch-uri de la proiect.

Impactul în Europa și în Italia

Potrivit SecurityWeek, pe 21 octombrie mai multe site-uri ale instituțiilor publice, școlilor și spitalelor din Europa au fost oprite preventiv în timpul actualizărilor, iar în Regatul Unit 32 de servicii guvernamentale au fost indisponibile. Și DNSC din România a emis o alertă despre cele două vulnerabilități.

Pentru entitățile NIS2 rămâne valabil ce am scris pe 20 octombrie: documentează inventarul, prioritățile și termenele de actualizare și evaluează notificarea către CSIRT-ul național (în România DNSC, în Italia CSIRT Italia) în cazul unui incident semnificativ. În sănătate, portalurile pentru pacienți bazate pe PHP trebuie verificate primele, inclusiv cele administrate de furnizori externi.

Ce să faci acum

1. Actualizează la 8.5.12, 8.4.27, 8.3.36 sau 8.2.35 ori la versiunile corectate ale distribuției sau ale furnizorului de hosting și verifică versiunea folosită efectiv de serverul web (PHP-FPM sau modul), nu doar cea din php -v.
2. Setează session.upload_progress.enabled=0 în php.ini și în pool-urile PHP-FPM, apoi repornește toate procesele worker PHP, cum indică KrCERT/CC. Dacă ai aplicat-o deja pentru CVE-2026-109619, păstreaz-o: potrivit PHP nu mai e nevoie de nimic altceva.
3. Verifică codul: caută apeluri ini_set() pe session.serialize_handler în aplicații și în componentele terților.
4. Versiuni fără suport: întreabă furnizorul distribuției sau al hostingului dacă are corecții; altfel planifică migrarea și, între timp, limitează expunerea publică.
5. Prioritate pentru mod_php: instalările cu Apache mod_php sunt cele vizate de PoC-urile validate de Mandiant și de lanțul găsit de SOCRadar.
6. Monitorizează jurnalele serverelor web pentru cereri anormale și gazdele PHP pentru procese sau conexiuni de ieșire neașteptate.

Cum ajută ARXDOME

ARX Shield arată pentru fiecare mașină pachetele cu vulnerabilități deschise, cu cele deja exploatate evidențiate; inventarul ARX Sentry listează software-ul și procesele serverelor cu agent, util pentru a găsi PHP și PHP-FPM. ARX Expose arată ce servicii publice ale companiei tale expun produse recunoscute, ca să începi cu cele accesibile de pe internet.

Ultima actualizare: 24 octombrie 2026