Unit 42 retiró el 25 de octubre de 2026 el vínculo que había establecido entre PHP2Shell y el acceso inicial a un incidente de seguridad en una entidad gubernamental europea. El equipo dijo que no podía confirmar que ese acceso implicara CVE-2026-109618 o CVE-2026-109619. La rectificación se refiere a la vía de entrada al incidente.
Qué rectificó Unit 42
Unit 42 retiró su atribución anterior después de no poder confirmar que ninguno de los dos CVE hubiera servido para el acceso inicial. El incidente de la entidad gubernamental y la identificación de esa vía de entrada son cuestiones distintas.
La cobertura anterior de NeoTeo recogió los intentos contra ambos fallos observados por Cisco Talos. En esa información previa se describió actividad dirigida a explotar las vulnerabilidades; la corrección posterior de Unit 42 afecta a otro incidente y a su atribución.
Qué registraron los honeypots
En una observación independiente, Adel Karimi informó el 24 de octubre de 2026 de 35 solicitudes HTTP de ejecución correlacionadas con 35 inicios de /bin/sh, el intérprete de comandos, en tres honeypots. Los registros de red y la telemetría de procesos vincularon esos inicios con procesos de Apache.
Los tres señuelos ejecutaban PHP 8.4.26 con Apache mod_php, un único worker y un límite de memoria de PHP de 128 MiB. El recuento describe ejecuciones en esos honeypots: no es un total de servidores reales comprometidos ni una estimación de víctimas en producción.
¿Demuestran estas pruebas que PHP-FPM es seguro? No. Las ejecuciones se observaron con Apache mod_php; PHP-FPM no formó parte de esa configuración.
Versiones de PHP corregidas
El proyecto PHP publicó el 21 de octubre las versiones upstream que corrigen los dos fallos: 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Las distribuciones pueden ofrecer correcciones retroportadas con numeraciones de paquete distintas. El anuncio del proyecto PHP detalla las versiones publicadas.
