Unit 42 nahm am 25. Oktober seine frühere Zuordnung eines Angriffs auf eine europäische Regierungsbehörde zu PHP2Shell zurück. Das Team konnte nicht bestätigen, dass CVE-2026-109618 oder CVE-2026-109619 den Erstzugriff ermöglichten. Unabhängig davon dokumentierte Adel Karimi 35 Shell-Starts auf drei Honeypots.

Was Unit 42 korrigierte

Unit 42 zog die Verbindung zwischen dem Erstzugriff auf den Behördenfall und den beiden PHP-Schwachstellen zurück. In seinem Threat Brief zu CVE-2026-109618 und CVE-2026-109619 erklärte das Team, es könne nicht bestätigen, dass eines der beiden CVEs für den Erstzugriff genutzt wurde.

NeoTeo berichtete zuvor über von Cisco Talos beobachtete Angriffsversuche gegen die PHP-Lücken. Die frühere Meldung zu Talos’ Beobachtungen ordnete diese Versuche ein; Unit 42s spätere Korrektur betrifft die Zuordnung des Erstzugriffs in einem anderen Behördenfall.

Was die 35 Shell-Starts auf Honeypots zeigen

Remote Code Execution (RCE) bedeutet, dass ein Angreifer Befehle auf einem entfernten Server ausführen kann. Karimi korrelierte 35 vollständige HTTP-POST-Anfragen mit 35 Starts von /bin/sh, die jeweils einem Apache-Worker zugeordnet waren. Die Prozessdaten und Paketmitschnitte dokumentieren damit erfolgreiche Ausführung auf den drei Honeypots.

Die Systeme liefen mit PHP 8.4.26 und Apache mod_php, jeweils mit einem Worker und einem PHP-Speicherlimit von 128 MiB. Die Zahl 35 zählt Shell-Starts auf diesen drei Täuschsystemen; sie ist keine Schätzung kompromittierter Produktivserver. Drei Starts entfielen auf eine Quell-IP-Adresse, 32 auf eine zweite. Diese Adressen identifizieren keine Personen.

Der Honeypot-Bericht beschreibt Apache mod_php, nicht PHP-FPM. Das PHP-Projekt zählt jedoch alle PHP-Installationen, die Webanfragen bedienen, als potenziell betroffen und nennt ausdrücklich PHP-FPM, mod_php, php-cgi, FrankenPHP und LiteSpeed. Das höchste Risiko sieht das Projekt bei mod_php.

Die veröffentlichten PHP-Korrekturen

Am 21. Oktober veröffentlichte das PHP-Projekt Sicherheitskorrekturen für PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35. Die PHP-Sicherheitsmitteilung mit den korrigierten Versionen führt beide CVEs auf. Distributionen und LTS-Anbieter können die Korrekturen mit eigenen Paketversionsnummern ausliefern.