Amazon meldde dat MadPot op 17 oktober 2026 een PHP2Shell-poging tegen een honeypot registreerde, vier dagen voordat PHP de kwetsbaarheden openbaar maakte. Op 21 oktober bracht PHP de fixes uit in versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. De waarneming betrof Amazons eigen sensoren; Amazon kon niet vaststellen of de pogingen zouden slagen op echte systemen.
Wat Amazon vóór de bekendmaking waarnam
MadPot is Amazons honeypot- en sensorsysteem. Volgens Amazon Threat Intelligence registreerde MadPot op 17 oktober een poging tegen een honeypot. Op 21 oktober zag Amazon verdere activiteit tegen zijn sensoren: rond 02.00 uur UTC verschenen proof-of-concept-exploits en tussen 02.00 en 08.00 uur werden meer pogingen waargenomen. Na het opheffen van het embargo om 14.00 uur UTC meldde Amazon opnieuw activiteit.
De pogingen tonen aan dat er verkeer op Amazons sensoren was gericht, niet dat een website of ander echt systeem succesvol was binnengedrongen. Amazon kon ook niet vaststellen hoe de aanvaller vóór de openbare bekendmaking aan informatie over de kwetsbaarheden was gekomen.
Welke PHP-installaties risico lopen
PHP2Shell is de verzamelnaam voor twee kritieke kwetsbaarheden in de PHP-kern: CVE-2026-109618 en CVE-2026-109619. Beide kunnen volgens PHP leiden tot uitvoering van code op afstand zonder dat de aanvaller eerst hoeft in te loggen. PHP kende beide een CVSS v4.0-score van 9,2 toe.
CVE-2026-109618 betreft corruptie van geheugen bij een tekort aan geheugen. Daardoor kan PHP-verzoekdata onvolledig zijn wanneer het verzoek wordt afgesloten. CVE-2026-109619 betreft een verwijzing naar geheugen dat al is vrijgegeven. Een worker kan verouderde toestand bewaren en die bij een volgend verzoek gebruiken voordat PHP die opnieuw initialiseert.
PHP rekent installaties die webverzoeken verwerken tot de getroffen omgeving. Het noemt PHP-FPM, Apache mod_php, php-cgi, FrankenPHP en LiteSpeed; Apache mod_php krijgt de aanduiding van configuratie met het hoogste risico.
De fixes en de rol van aanvullende maatregelen
PHP publiceerde op 21 oktober fixes voor beide kwetsbaarheden in PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 en PHP 8.2.35. PHP noemt een bijgewerkte, gefixte release de enige volledige oplossing. Een WAF of configuratiewijziging vervangt die update dus niet: configuratiemaatregelen kunnen specifieke aanvalsroutes beperken, maar maken een installatie volgens PHP niet veilig.
PHP 8.1 en oudere versies krijgen geen updates meer van het PHP-project. Distributies en leveranciers van langetermijnondersteuning kunnen fixes terugporteren naar oudere pakketten; het PHP-team leverde zelf broncodebackports voor PHP 7.4, 8.0 en 8.1. De pakketstatus kan daardoor afwijken van alleen het upstream-versienummer.
