AWS meldde dat zijn MadPot-honeypotnetwerk op 17 oktober 2026 een PHP2Shell-exploitpoging registreerde, vier dagen vóór de openbare bekendmaking van de kwetsbaarheden. De poging was gericht op een honeypot. AWS kon niet vaststellen of de aanval op echte systemen zou zijn geslaagd.

Twee PHP-fouten, met verschillende oorzaken

PHP2Shell is de verzamelnaam voor twee kwetsbaarheden in de PHP-kern. CVE-2026-109618 betreft geheugenbeschadiging wanneer PHP onvoldoende geheugen heeft. Bij CVE-2026-109619 kan een volgend verzoek op dezelfde worker verouderde interne status gebruiken nadat het bijbehorende geheugen is vrijgegeven. PHP beoordeelt beide fouten als mogelijkheden voor uitvoering van code op afstand zonder aanmelding.

De officiële PHP-beveiligingsmelding noemt PHP-FPM, Apache met mod_php, php-cgi, FrankenPHP en LiteSpeed als getroffen integraties voor webverzoeken. PHP noemt mod_php het grootste risico, omdat een niet-aangemeld verzoek de kwetsbaarheid kan activeren voordat applicatiecode wordt uitgevoerd.

PHP noemt vier versies waarin de fouten zijn verholpen: PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Linuxdistributies en leveranciers met langdurige ondersteuning kunnen oplossingen terugporteren naar oudere versies, waardoor hun versienummers niet overeenkomen met die van PHP zelf. Het gaat om de PHP-runtime; alleen een website of CMS bijwerken vervangt die runtime-update niet.

Afzonderlijke sensoren, afzonderlijke waarnemingen

Telekom Security meldde dat zijn eigen honeypots vóór het verschijnen van de adviezen in de tijdlijn geen exploitachtige payloads zagen. De eerste exploitachtige, geserialiseerde payloads registreerde het bedrijf op 21 oktober om 14.18 UTC. Telekom Security merkt op dat verschillende sensornetwerken verschillend verkeer kunnen waarnemen. Die bevinding betreft dus de eigen sensoren; AWS meldde de poging van 17 oktober in MadPot.

Wat PHP-beheerders kunnen doen

PHP stelt dat bijwerken naar een opgeloste versie de volledige oplossing is en dat configuratieaanpassingen hooguit specifieke aanvalspaden beperken. AWS adviseert beheerders daarnaast POST-verzoeken met PHP_SESSION_UPLOAD_PROGRESS en webserverlogs te onderzoeken, en te letten op onverwachte procesuitvoering of wijzigingen aan bestanden. Wie niet meteen kan bijwerken, kan volgens AWS tijdelijke beperkingen op uploads met meerdere bestanden overwegen, nadat is nagegaan welk effect dat op de applicatie heeft.

AWS waarschuwde dat de zes genoemde IP-adressen gedeelde anonimiseringinfrastructuur omvatten en niet uitsluitend met PHP2Shell-activiteit zijn verbonden. Het advies is overeenkomsten te onderzoeken, niet adressen automatisch te blokkeren.