Il 25 ottobre 2026 Unit 42 ha ritirato il collegamento tra PHP2Shell e l’accesso iniziale a un incidente che ha coinvolto un ente governativo europeo. Il gruppo ha dichiarato di non poter confermare che l’accesso iniziale fosse legato a CVE-2026-109618 o CVE-2026-109619.
Le 35 esecuzioni di shell riferite da Adel Karimi riguardano invece tre honeypot, cioè sistemi-esca usati per attirare e osservare attacchi. Sono un’osservazione distinta dall’incidente europeo, non un conteggio di server di produzione compromessi.
La rettifica di Unit 42 riguarda l’accesso iniziale
Unit 42 ha ritirato l’aggiornamento del 23 ottobre che collegava PHP2Shell all’accesso iniziale nell’incidente. La correzione riguarda il metodo d’ingresso: il gruppo non ha confermato che fosse stato usato uno dei due CVE. Per il contesto sui tentativi osservati da Cisco Talos dopo la divulgazione delle vulnerabilità, la precedente copertura di NeoTeo sulle due CVE di PHP ricostruisce la fase iniziale.
Che cosa registravano i tre honeypot
Nel rapporto pubblicato il 24 ottobre, Karimi ha correlato 35 richieste HTTP POST della fase di esecuzione con 35 avvii di /bin/sh da parte di processi Apache. I sistemi usavano PHP 8.4.26 con Apache mod_php, un solo worker e un limite di memoria PHP di 128 MiB.
I comandi osservati comprendevano tentativi di connessione verso sistemi esterni e verifiche delle caratteristiche del sistema. Il rapporto non ha rilevato il download di un secondo stadio dell’attacco. La configurazione descritta era Apache mod_php; il conteggio non fornisce un risultato su PHP-FPM, un diverso modo di eseguire PHP.
Le versioni PHP corrette
Il 21 ottobre il progetto PHP ha pubblicato correzioni per le due vulnerabilità nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35. Le distribuzioni possono fornire le correzioni tramite backport, con numeri di versione diversi da quelli dei rilasci upstream.
