Amazon Threat Intelligence meldde dat zijn MadPot-honeypots op 17 oktober 2026 een PHP2Shell-exploitpoging registreerden, vier dagen voordat de kwetsbaarheden openbaar werden gemaakt en het PHP-project op 21 oktober beveiligingsupdates uitbracht. Een honeypot is een loksysteem dat verdacht verkeer registreert. De waarneming betrof verkeer naar MadPot.
Wat Amazon op 17 oktober registreerde
Het bron-IP-adres was volgens Amazon gekoppeld aan een commercieel anonimiseernetwerk. Amazon identificeerde de persoon of groep achter de poging niet. De datum geeft beheerders wel een concreet beginpunt voor het door AWS aanbevolen terugzoekonderzoek: 17 oktober.
AWS adviseerde in logs te letten op deze signalen:
| Signaal | Wat je kunt onderzoeken |
| POST-verzoeken | Verzoeken met PHP_SESSION_UPLOAD_PROGRESS |
| Webserveractiviteit | Verdacht gedrag van de webserver |
| Procesuitvoering | Onverwachte processen die zijn gestart of uitgevoerd |
| Bestandswijzigingen | Onverwachte aanpassingen aan bestanden |
AWS waarschuwde dat de genoemde IP-adressen gedeelde anonimiseerinfrastructuur omvatten. Zo’n adres is daarom op zichzelf geen reden om verkeer automatisch te blokkeren; AWS adviseerde de betreffende verbindingen te onderzoeken.
Welke PHP-versies bevatten de fixes?
PHP2Shell is de verzamelnaam voor twee kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619. Onder bepaalde omstandigheden konden ze aanvallers zonder account in staat stellen code uit te voeren op een PHP-server. De PHP Foundation beschreef de eerste kwetsbaarheid als een fout rond geheugenuitputting en de tweede als een probleem met verouderde globale status en vrijgegeven geheugen.
Op 21 oktober bracht het PHP-project deze versies uit met de fixes:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Welke versie relevant is, hangt af van de PHP-branch waarop een server draait. In ons eerdere artikel over de PHP-fixes lees je meer over de kwetsbaarheden en de updates.
Hoe de bekendmaking verliep
De twee CVE-identificaties begonnen op 20 oktober rond 15.00 uur UTC online te circuleren, zonder technische details. De PHP Foundation meldde dat PHP die dag om 19.30 uur een vooraankondiging publiceerde en de geplande beveiligingsrelease vervroegde van 22 naar 21 oktober, om 14.00 uur UTC. De patches verschenen op die datum.
Die tijdlijn plaatst de MadPot-waarneming vier dagen vóór de bekendmaking en de release van de fixes. AWS adviseerde beheerders hun onderzoek daarom vanaf 17 oktober te laten teruggaan.
