PHP2Shell: posibilă campanie nord-coreeană, produse OT afectate

📌 Evoluții ulterioare: PHP2Shell în PAN-OS: corecții pentru cinci ramuri și Panorama (29 octombrie 2026) · PHP2Shell și Fragnesia: root pe firewall-uri PAN-OS în 15 minute (28 octombrie 2026)

Pe 26 octombrie 2026, CISA a adăugat vulnerabilitățile PHP2Shell CVE-2026-109618 și CVE-2026-109619 în catalogul KEV, după primele shell-uri obținute pe honeypot-uri cu PHP 8.4.26 și Apache mod_php (SecurityWeek, BleepingComputer). În articolele noastre din 20 și 23 octombrie găsești anunțul, versiunile corectate și a treia RCE, CVE-2026-115560. Mai jos, noutățile: o campanie țintită atribuită cu prudență Coreei de Nord, produsele industriale afectate, diferențele dintre cele două CVE și ce să cauți în jurnale.

Două CVE, două mecanisme

Descrierile NVD, acum complete, arată că sunt defecte diferite:

• CVE-2026-109618: PHP folosește longjmp() pentru a ieși când memoria se epuizează (OOM); unele contexte lasă memoria cererii neinițializată, iar curățarea ulterioară o citește. Provocând OOM se ajunge la execuție de cod.
• CVE-2026-109619: o stare globală care indică spre memoria cererii nu este resetată, iar cererile următoare citesc memorie deja eliberată.

PHP le acordă amândurora un scor CVSS 4.0 de 9,2; NVD, în CVSS 3.1, dă 9,8 pentru CVE-2026-109618 și 8,1 pentru CVE-2026-109619 (complexitate ridicată). Conform CPE-urilor NVD, CVE-2026-109619 afectează PHP de la 5.4.0, iar CVE-2026-109618 de la 7.3.0. Versiuni corectate: 8.2.35, 8.3.36, 8.4.27 și 8.5.12.

Potrivit Security Affairs, care citează Cyfirma, cel mai grav caz confirmat pentru CVE-2026-109618 este Apache mod_php cu prefork și setări implicite; pentru CVE-2026-109619 este validat PHP-FPM prin upload progress al sesiunilor. Prin urmare, session.upload_progress.enabled=0 protejează doar împotriva CVE-2026-109619.

Declanșarea defectului e ușoară, execuția fiabilă de cod nu: cererea următoare trebuie să ajungă la același worker, cu memoria deja pregătită. Potrivit Security Affairs, VulnCheck execută cod pe x86-64 cu ASLR activ împotriva PHP 8.4.10–8.4.26, în timp ce pe ARM64 obține doar scurgeri de memorie; evaluări de cu câteva zile înainte spuneau contrariul. The Register relatează că un pentester a câștigat o provocare publică obținând RCE în circa trei ore cu cel mult 20 de cereri, dar cu un exploit construit pentru acea țintă.

Campania semnalată de Cyfirma

O relatează doar Security Affairs, citând raportul Cyfirma:

• doi operatori activi din martie 2026 se coordonează într-un canal I2P închis, monitorizat din 22 octombrie;
• pe 24 octombrie au indicat 216 gazde neactualizate sau protejate doar parțial, verificate de pe 21 de noduri de scanare (mașini compromise), observate și folosind instrumente pentru web shell și încercând otrăvirea sesiunilor prin upload progress;
• scanarea este lentă intenționat, cu noduri prin rotație abandonate imediat ce întâlnesc filtre: alertele bazate pe volum nu se declanșează;
• operatorii nu scriu exploituri noi: un model de IA local le clasifică pe cele publice, apoi le testează în laborator;
• au eliminat gazdele care afișau o versiune corectată.

Cyfirma atribuie campania cu încredere moderată familiei Lazarus, pe baza limbii, a modului de operare și a folosirii web shell-urilor PHP, dar fără malware sau infrastructură comune, și admite că un grup infracțional vorbitor de coreeană s-ar potrivi acelorași fapte. Ținte: mai întâi instituții guvernamentale și bănci, apoi logistică, porturi, aeroporturi, industrie prelucrătoare și platforme de tranzacționare; printre zonele numite se află Uniunea Europeană. Nu există victime cunoscute.

Raportul conține reguli Sigma, Splunk și YARA (acestea din urmă netestate încă pe cod real) și adresele nodurilor; unele aparțin unor posibile victime, deci un contact cu ele nu identifică atacatorul.

Tehnici MITRE ATT&CK: T1595 (Active Scanning), T1190 (Exploit Public-Facing Application), T1505.003 (Web Shell).

Produse industriale și de rețea afectate

Potrivit SecurityWeek:

• Schneider Electric: EcoStruxure Security Expert (corectat în 1.48.4.0), ProLeiT LINEoptimize, EcoStruxure Control Engineering (deocamdată doar măsuri de atenuare);
• Siemens: RUGGEDCOM APE1808 cu PAN-OS 10.2, 11.1, 11.2, 12.1 și 12.2 (și NVD listează PAN-OS și APE1808);
• ABB: MES cu DokuWiki; B&R: APROL până la R 4.4-65;
• Johnson Controls: Illustra și Visonic PowerManage, corectate;
• Belden: NetModule NRSW fără patch (dezactivează interfața web) și macmon 6.x și 7.x;
• HMS Networks (Netbiter) și Wibu-Systems (CodeMeter License Central): actualizări disponibile.

Rockwell Automation și Moxa nu au produse afectate confirmate; Hitachi Energy verifică.

Impactul pentru companiile europene și italiene

UE se află printre zonele numite, iar logistica, transporturile, industria prelucrătoare și băncile sunt sectoare NIS2. Punctul delicat este PHP din echipamentele și software-ul terților: MES, control acces, supraveghere video, routere industriale. Nu apare în inventarele de pachete și se actualizează doar prin firmware-ul producătorului. Pentru entitățile NIS2 este o chestiune de gestionare a furnizorilor: întreabă-l pe fiecare și documentează răspunsul. În sănătate, același lucru e valabil pentru controlul accesului și supravegherea video din spitale. Un incident semnificativ trebuie evaluat pentru notificarea către CSIRT-ul național (în România, DNSC; în Italia, CSIRT Italia).

Ce să faci acum

1. Actualizează și repornește toți workerii: un reload care păstrează workerii vechi menține starea defectă. Pentru 8.1, 8.0 și 7.4 există doar backporturi minime; cPanel, CloudLinux, TuxCare și Plesk au build-uri proprii. De la 5.4 la 7.3: migrează sau izolează.
2. Nu te baza pe o singură măsură: dezactivarea upload progress acoperă doar CVE-2026-109619. Dacă nu poți actualiza în câteva ore, izolează sistemele expuse, începând cu mod_php.
3. Verifică echipamentele OT și de rețea cu avizele producătorilor.
4. Dacă suspectezi o compromitere, capturează memoria și jurnalele înainte de actualizare (repornirea șterge starea CVE-2026-109619), reconstruiește dintr-o imagine de încredere, schimbă secretele accesibile workerului și caută până la 17 octombrie.
5. Ce să cauți: procese PHP sau ale serverului web care lansează programe neobișnuite, POST multipart către pagini care nu primesc fișiere, căderi ale workerilor și erori de memorie, fișiere PHP noi în folderele web, cron-uri, utilizatori sau chei SSH noi. Jurnalele aplicației de obicei nu arată nimic: defectul se declanșează înaintea codului aplicației.
6. Nu rula PoC-uri găsite online: unele conțin malware.

Cum ajută ARXDOME

ARX Shield arată vulnerabilitățile deschise pe fiecare mașină, cu cele deja exploatate evidențiate. ARX Sentry listează software-ul și procesele serverelor cu agent, semnalează execuțiile suspecte și verifică integritatea fișierelor în folderele stabilite, cum sunt cele web. ARX Expose arată serviciile publice și produsele recunoscute; ARX Radar recunoaște și scanările lente și sursele care atacă mai multe companii.

Ultima actualizare: 27 octombrie 2026