PHP2Shell ranjivosti zahtevaju hitno ažuriranje PHP sistema

PHP Foundation je objavila zakrpe za dve kritične ranjivosti poznate kao PHP2Shell, označene kao CVE-2026-109618 i CVE-2026-109619. Propusti mogu omogućiti neautentifikovano udaljeno izvršavanje koda na nezaštićenim PHP sistemima, bez lozinke ili druge pristupne informacije. Rizik je širok jer se PHP koristi na približno 70% javno dostupnog veba.

Istraživači kompanije Calif otkrili su ranjivosti 2024. godine, ali tada nije postojao poznat praktičan metod njihove zloupotrebe. Novi način eksploatacije doveo je do koordinisanog otkrivanja: PHP Foundation je unapred podelila informacije i zakrpe sa većim internet kompanijama i hosting provajderima, a zatim ih javno objavila.

Zašto su propusti posebno ozbiljni

Obe ranjivosti mogu se napasti preko interneta i ne zahtevaju da korisnik otvori dokument, klikne na vezu ili izvrši drugu radnju. Uspešna zloupotreba napadaču može dati kontrolu nad pogođenim, neažuriranim sistemom, uključujući mogućnost postavljanja malvera, krađe podataka ili održavanja trajnog pristupa.

Široka upotreba PHP-a povećava operativni problem. Tehnologiju koriste sistemi zasnovani na WordPressu, Drupalu, Joomli i MediaWikiju, ali PHP nije ograničen na javne sajtove. Prisutan je i u alatima za razvoj, komandnim paketima, kao i komponentama rutera, sistema za skladištenje podataka, zaštitnih zidova i VPN uređaja.

Aktivnost pre i nakon objave zakrpa

Amazon je saopštio da je zabeležio eksploataciju PHP2Shell-a približno nedelju dana pre dostupnosti zakrpa i preporučio da se tragovi kompromitacije traže od 17. oktobra. Nije utvrđeno kako je napadač došao do saznanja o propustima. Moguća objašnjenja obuhvataju samostalno otkrivanje, curenje informacija ili uvid u prerano objavljene izmene izvornog koda.

Krajem petka Palo Alto Networks i Trail of Bits potvrdili su kompromise i aktivnosti nakon upada povezane sa ovim propustima. Cloudflare je istovremeno zabeležio eksponencijalan rast pokušaja eksploatacije nakon javnog otkrivanja. To pokazuje da objava zakrpe ne uklanja rizik sa sistema koji još nisu ažurirani.

Šta treba proveriti u poslovnom okruženju

• Popisati javno dostupne i interne sisteme, aplikacije i uređaje koji koriste PHP.
• Primeni­ti zakrpe PHP Foundation na podržanim instalacijama i proveriti ažuriranja dobavljača integrisanih proizvoda.
• Pregledati dnevnike, promene na sistemima i druge pokazatelje moguće zloupotrebe počev od 17. oktobra.
• Izolovati ili ograničiti izloženost starijih sistema za koje ažuriranje nije dostupno.

Za poslovanje je neposredan prioritet inventar PHP zavisnosti, brzo uvođenje zakrpa i provera mogućih tragova napada. Posebnu pažnju zahtevaju manje administrativne ekipe, sopstvene aplikacije i nasleđeni sistemi, jer njihov sporiji ciklus ažuriranja duže zadržava izloženu površinu napada.