PHP2Shell în catalogul KEV: primele shell-uri pe honeypot-uri

📌 Evoluții ulterioare: PHP2Shell în PAN-OS: corecții pentru cinci ramuri și Panorama (29 octombrie 2026) · PHP2Shell și Fragnesia: root pe firewall-uri PAN-OS în 15 minute (28 octombrie 2026)

Pe 26 octombrie 2026, CISA, agenția americană pentru securitate cibernetică și securitatea infrastructurilor, a adăugat cele două vulnerabilități PHP2Shell, CVE-2026-109618 și CVE-2026-109619, în catalogul Known Exploited Vulnerabilities (KEV). Agențiile civile federale din Statele Unite trebuie să le corecteze până joi, 29 octombrie. În același weekend au apărut primele dovezi publice de execuție de cod reușită, obținute însă pe honeypot-uri.

Articolele noastre anterioare au tratat anunțul celor două vulnerabilități, versiunile corectate din 21 octombrie, a treia RCE, CVE-2026-115560, și o săptămână de tentative de exploatare fără succese confirmate. În continuare, noutățile.

Ce înseamnă includerea în KEV

Potrivit The Register, cu o săptămână înainte CISA avertizase asupra pericolului fără să fi observat exploatări reușite. Acum agenția consideră ambele vulnerabilități exploatate activ, dar nu a indicat victime sau atacatori și nici detalii despre atacuri. Un purtător de cuvânt, citat de The Record, a trimis la regulile KEV, potrivit cărora „exploatarea activă” include atât tentativele, cât și atacurile reușite. Potrivit Computer Weekly, CISA nu știe dacă vulnerabilitățile au fost folosite în campanii ransomware.

În practică, includerea confirmă că vulnerabilitățile sunt vizate, nu câte sisteme în producție au fost compromise cu adevărat. Termenul se aplică doar agențiilor federale americane, dar CISA îndeamnă toate organizațiile să dea prioritate corecțiilor.

În avizul actualizat, relatat de The Record, CISA cere:

• să identifici și să inventariezi sistemele cu orice versiune de PHP;
• să aplici corecțiile sau să scoți din rețea sistemele care nu pot fi actualizate imediat;
• să ții cont că, în unele cazuri, un web application firewall poate oferi protecție pentru o perioadă limitată.

Avizul trimite și la indicațiile PHP și ale agențiilor din Australia, Canada, Noua Zeelandă și Regatul Unit.

Primele RCE reușite

Potrivit The Register, pe 24 octombrie cercetătorul Adel Karimi (Perplexity) a înregistrat 35 de execuții de shell reușite pe trei honeypot-uri cu PHP 8.4.26 sub Apache mod_php. Și Computer Weekly relatează o execuție de cod de la distanță pe un honeypot cu aceeași versiune și aceeași configurație, apărută duminică, 25 octombrie. Detaliile, potrivit The Register:

• atacurile veneau de la două adrese IP și foloseau epuizarea și divulgarea memoriei pentru a ajunge la execuția de cod;
• după obținerea shell-ului, atacatorii au încercat să contacteze servere externe cu PHP, curl și wget, fără să reușească să descarce alt malware;
• activitatea este compatibilă cu CVE-2026-109618, pe care Computer Weekly o descrie drept coruperea memoriei; nu există urme de CVE-2026-109619, o vulnerabilitate legată de o stare internă a cererii care nu mai este validă;
• Karimi avertizează că honeypot-urile aveau o configurație favorabilă, cu un singur worker: rezultatele nu spun cât de fiabil este exploit-ul împotriva serverelor de producție.

Tot potrivit The Register, Threat Intelligence Lab al Universității din Delft a numărat peste 50.000 de cereri de exploatare de la peste 600 de adrese IP din 70 de țări; 171 dintre aceste adrese nu s-au limitat la căutarea serverelor vulnerabile și au trimis cod de exploit sau droppere de malware. Sursele nu publică adresele: nu există indicatori de compromitere publici.

Unele semnalări anterioare s-au dovedit premature: Sophos a pus activitatea observată pe seama unor scanări și tentative eșuate, iar Palo Alto Networks a retras legătura dintre vulnerabilități și o intruziune la o agenție guvernamentală europeană (The Register, The Record).

Cât despre timp, CrowdStrike, citată de Computer Weekly, explică faptul că transformarea exploit-urilor în arme a durat mai mult, deoarece PoC-ul trebuie adaptat versiunii PHP și aplicației țintă, cu cunoștințe specifice despre containere Docker și pachete. Potrivit TechCrunch, singura sursă pe acest punct, cele două vulnerabilități erau cunoscute de doi ani, dar fuseseră considerate neexploatabile în practică, până când cercetătorii companiei Calif au găsit o metodă cu ajutorul unui model de IA.

Tehnici MITRE ATT&CK: T1190 (exploatarea aplicațiilor expuse pe Internet) și, pentru tentativele de a descărca instrumente cu curl și wget, T1105 (Ingress Tool Transfer).

Actualizări: cifrele depind de sursă

• Potrivit panoului Censys citat de The Record, din cele 42 de milioane de servicii PHP expuse pe Internet, peste 10 milioane au fost actualizate din 21 octombrie; pe 22 octombrie erau aproximativ 1 milion.
• PHP2Shell Tracker al Infrawatch, citat de Computer Weekly, număra la 12:00 UTC pe 27 octombrie aproximativ 443.000 de gazde vizibile actualizate, în jur de 20% din total, cu 31.000 în plus în ultimele 24 de ore: 27,2% în Regatul Unit și 19,7% în Statele Unite.

Cele două instrumente măsoară populații diferite, iar cifrele absolute nu pot fi comparate, dar ambele arată că majoritatea instalărilor expuse nu sunt încă actualizate.

Impactul pentru companiile europene și italiene

KEV nu obligă companiile europene, dar este un semnal care merită urmărit. Sursele arată unde pot rămâne instalări uitate:

• site-uri mici sau neîntreținute și PHP „ascuns” în produse și platforme mai mari, inclusiv la parteneri externi (William Wright, Closed Door Security, pentru Computer Weekly);
• backend-urile aplicațiilor pentru Android și iOS: potrivit analizei NowSecure preluate de Cybersecurity360, vulnerabilitățile nu afectează telefoanele, dar un backend PHP compromis poate expune datele și API-urile folosite de aplicații, inclusiv serviciile accesate prin SDK-uri terțe.

Pentru entitățile NIS2, includerea în KEV este un element de documentat în prioritizarea corecțiilor, împreună cu verificarea furnizorilor care gestionează aplicații PHP în numele companiei; un eventual incident semnificativ trebuie evaluat în vederea notificării către CSIRT-ul național (în România DNSC, în Italia CSIRT Italia). În sănătate trebuie verificate mai întâi portalurile pentru pacienți, programările online și aplicațiile conectate.

Ce să faci acum

1. Actualizează la PHP 8.5.12, 8.4.27, 8.3.36 sau 8.2.35 ori la versiunile corectate ale distribuției sau ale furnizorului de hosting și verifică versiunea folosită efectiv de serverul web, nu doar cea afișată de php -v.
2. Versiuni fără suport: treci la o ramură cu suport sau obține corecții de la furnizor; dacă nu este posibil, scoate sistemul de pe Internet, cum recomandă CISA.
3. Prioritate pentru Apache mod_php: este configurația RCE-urilor reușite pe honeypot-uri.
4. Folosește un WAF doar ca măsură temporară, până la actualizare.
5. Lasă dezactivat session.upload_progress.enabled dacă ai făcut-o deja pentru CVE-2026-115560: a treia vulnerabilitate nu este încă corectată.
6. Cere confirmarea furnizorilor pentru actualizarea aplicațiilor, a hostingului și a backend-urilor aplicațiilor mobile.
7. Caută semne de compromitere: procese PHP care lansează shell-uri, curl sau wget, conexiuni de ieșire neașteptate de pe serverele web, cereri anormale în jurnale.

Cum ajută ARXDOME

ARX Shield arată pentru fiecare mașină vulnerabilitățile deschise pe pachete, cu cele deja exploatate evidențiate. Inventarul ARX Sentry enumeră software-ul și procesele serverelor cu agent: te ajută să găsești PHP și PHP-FPM. ARX Expose arată ce servicii publice ale companiei tale expun produse recunoscute, ca să începi cu cele accesibile de pe Internet.

Ultima actualizare: 27 octombrie 2026