Pokušaj napada na PHP2Shell zabeležen pre javnog otkrivanja
Amazon Threat Intelligence je 17. oktobra 2026. otkrio pokušaj zloupotrebe propusta PHP2Shell protiv svog MadPot honeypot servisa, četiri dana pre javnog otkrivanja ranjivosti. Dva propusta u PHP jezgru, CVE-2026-109618 i CVE-2026-109619, ocenjena su sa 9,2 po CVSS skali i mogu omogućiti udaljeno izvršavanje koda bez prethodne autentifikacije.
Pokušaj je došao sa IP adrese 103.216.220[.]92, geolocirane u Australiji i povezane sa komercijalnom mrežom za anonimizaciju. Amazon navodi da je, dok je ranjivost bila pod embargom, takvo ciljanja honeypota nagoveštavalo delovanje aktera pretnje, iako nije poznato kako je došao do informacija potrebnih za eksploataciju.
Velika površina napada i malo vidljivih tragova
Ranjivosti pogađaju sve PHP verzije iz serija 7.x i 8.x. Rizik se ne vezuje za jedan CMS, okvir ili dodatak: potencijalno je izložen svaki dostupan PHP endpoint na pogođenom serveru, uključujući statične forme, stranice za prijavu i zdravstvene provere.
CrowdStrike upozorava da napad može ostaviti veoma malo digitalnih tragova. Radni procesi ostaju stabilni, odgovor može biti HTTP 200, a aplikacioni logovi ne beleže anomaliju jer aplikacioni kod nije ni izvršen. Kao mogući serverski trag navodi se pojedinačna fatalna greška ograničenja memorije u error logu veb servera.
Objava zakrpa ubrzana zbog curenja podataka
Koordinisano otkrivanje bilo je zakazano za 22. oktobar 2026. u 14 časova po UTC-u, ali su CVE oznake i proof-of-concept eksploatacija procureli unapred. PHP Foundation je zato objavu pomerio jedan dan ranije. Organizacija je navela da su problematične komponente vezane za upravljanje memorijom i obradu grešaka, delove kroz koje prolazi gotovo svaki PHP zahtev.
Amazon je prve PoC pokušaje zabeležio 21. oktobra oko 2 časa po UTC-u, a zatim i dodatne pokušaje sa anonimizovane infrastrukture tokom narednih šest sati. ELLIO je prvi zahtev prema svojim senzorima registrovao istog dana u 8.36 UTC, manje od sat vremena nakon što je Chainguard objavio izgrađene slike sa ispravkom.
Šta organizacije treba da provere
NCSC, CISA, FBI i NSA pozvali su organizacije da što pre primene ispravke ili razmotre privremeno isključivanje ugroženih sistema. FBI posebno preporučuje praćenje neočekivanog pokretanja komandnih školjki iz PHP procesa i preuzimanja datoteka, dok NSA ukazuje na mogući direktan pristup sistemu datoteka ili bazi podataka.
Obim izloženosti je značajan: Cloudflare navodi da PHP koristi gotovo 70% veb-sajtova, a VulnCheck je pronašao PHP na 2.608.039 javno dostupnih hostova. Za poslovanje je praktičan zaključak da treba odmah utvrditi gde se PHP koristi, ko je vlasnik sanacije, primeniti dostupne zakrpe i proveriti nadzor procesa i server logova.