CISA dodala dve PHP2Shell RCE ranjivosti u KEV katalog
CISA je u katalog Known Exploited Vulnerabilities (KEV) uvrstila dve PHP2Shell ranjivosti sa ocenom CVSS 9.2: CVE-2026-109618 i CVE-2026-109619. Obe mane omogućavaju neautentifikovano udaljeno izvršavanje koda na pogođenim PHP instalacijama, a PHP je ispravke objavio u verzijama 8.5.12, 8.4.27, 8.3.36 i 8.2.35 21. oktobra 2026.
Uvrštavanje u KEV znači da je CISA potvrdila aktivnu zloupotrebu, a savezne agencije SAD imaju rok do 29. oktobra 2026. da primene potrebne ispravke. Za organizacije koje upravljaju javno dostupnim PHP aplikacijama to je jasan signal da proveru verzija i ažuriranje ne treba odlagati.
Dve kritične greške sa mogućnošću udaljenog izvršavanja koda
CVE-2026-109618 je greška oštećenja memorije u uslovima nedostatka memorije, dok je CVE-2026-109619 povezana sa zastarelim internim stanjem zahteva. U oba slučaja posledica može biti izvršavanje koda bez prethodne autentifikacije.
Adel Karimi iz kompanije Perplexity potvrdio je 24. oktobra uspešne slučajeve RCE na honeypot sistemima. Njegova zapažanja odnose se na namerno povoljan profil mod_php sa jednim radnikom, pa nisu mera pouzdanosti eksploatacije na drugim brojevima radnika, PHP buildovima ili aplikacijama.
Karimi je naveo da je odgovor sadržao dekodirani izvod kolačića od 800 KiB i adresu funkcije izvedenu iz tog sadržaja, koja se pojavila u naknadnom izvršnom payloadu. Takav nalaz je važan zato što potvrđuje lanac izvršavanja koda, a ne samo pad procesa uz sumnjivu aktivnost.
Obim izloženosti i dodatni rizik u Windows okruženju
PHP je serverski skriptni jezik koji se koristi na približno 70% svih veb-sajtova. Censys procenjuje da više od 32,51 miliona PHP servisa i dalje radi na pogođenoj verziji, što objašnjava zašto su upozorenja objavili brojni proizvođači softvera, bezbednosne kompanije i državne institucije.
PHP Foundation je 26. oktobra objavio i Windows buildove 8.5.12-1, 8.4.27-1, 8.3.36-1 i 8.2.35-1 za CVE-2026-111497. Reč je o upisu van granica memorije u Brotli biblioteci, koji može dovesti do eskalacije privilegija i neautentifikovanog izvršavanja koda.
U PHP Windows buildovima ranjivi dekoder može biti dostupan preko cURL ekstenzije kada je uključena automatska dekompresija HTTP odgovora. Ta opcija je podrazumevano isključena u cURL-u, ali je aplikacije i HTTP klijentske biblioteke mogu uključiti.
Šta proveriti u poslovnim sistemima
Prioritet je popis PHP instanci i ažuriranje na odgovarajuću zakrpljenu verziju, uz proveru Windows buildova i podešavanja automatske HTTP dekompresije. Kontekst dodatno pojačava aktivno iskorišćene Drupal ranjivosti u KEV katalogu jer aktivno iskorišćene greške zahtevaju brzu proveru javno izloženih aplikacija i kontrolu primenjenih ispravki.
Praktičan poslovni zaključak je da timovi treba da evidentiraju verzije, primene dostupne zakrpe i potvrde rezultat na svim produkcionim okruženjima, naročito na servisima dostupnim sa interneta.