Het SuperTuxKart-team meldde op 24 oktober dat gebruikers bij terugkeer van de online dienst een nieuw wachtwoord moeten instellen. AWS registreerde PHP2Shell-pogingen op 17 oktober en op 21 oktober, maar kon niet bepalen of die op echte systemen zouden zijn geslaagd.
Wat AWS in oktober waarnam
AWS registreerde op 17 oktober een PHP2Shell-poging in MadPot, zijn honeypotnetwerk. Op 21 oktober zag AWS verdere activiteit tussen 02:00 en 08:00 UTC, vóór het einde van het embargo om 14:00 UTC. Volgens AWS verschilden de payloads en de gebruikte anonimisering. Die variatie suggereerde dat meerdere actoren actief waren. In het verslag van AWS staat ook dat het niet kon vaststellen of de pogingen op echte systemen zouden zijn geslaagd.
Welke PHP-versies de kwetsbaarheden verhelpen
PHP bracht op 21 oktober fixes uit voor CVE-2026-109618 en CVE-2026-109619: versie 8.5.12 voor de 8.5-tak, 8.4.27 voor 8.4, 8.3.36 voor 8.3 en 8.2.35 voor 8.2. Distributies en leveranciers van langetermijnondersteuning kunnen fixes hebben teruggeporteerd naar oudere pakketten; de bijbehorende leverancier bepaalt welke versie van toepassing is. De beveiligingsmeldingen van PHP bevatten de releasegegevens. NeoTeo behandelde eerder de rol van AI in het PHP-onderzoek.
De kwetsbaarheden zitten in de PHP-runtime. Alleen WordPress bijwerken verhelpt ze daarom niet; de runtime die de siteverzoeken verwerkt moet de fix bevatten.
Wat SuperTuxKart-gebruikers kunnen verwachten
In zijn bericht van 24 oktober schreef het SuperTuxKart-team dat de online dienst offline was en dat het geen aanwijzingen had dat de eigen server was gehackt. Bij terugkeer van de dienst moeten alle gebruikers een nieuw wachtwoord instellen, aldus het team. De accountmigratie hangt af van de afronding van een herschrijving en een beveiligingsaudit, zoals het team in zijn projectbericht beschreef.
