Unit 42 trok op 25 oktober 2026 de eerdere koppeling tussen PHP2Shell en de eerste toegang bij een incident met een Europese overheidsinstantie in. Het team zei niet te kunnen bevestigen dat CVE-2026-109618 of CVE-2026-109619 voor die eerste toegang was gebruikt. Unit 42 licht de correctie toe.
Beveiligingsonderzoeker Adel Karimi rapporteerde op 24 oktober 35 shellstarts op drie honeypots. Die waarneming staat los van het incident bij de overheidsinstantie. NeoTeo schreef eerder over pogingen die Cisco Talos na de bekendmaking van de kwetsbaarheden waarnam, in de eerdere berichtgeving over PHP2Shell.
Wat Karimi’s honeypots registreerden
Karimi’s technische rapport koppelt 35 HTTP POST-verzoeken in de uitvoeringsfase aan 35 starts van /bin/sh, telkens als subprocess van een Apache-worker. Die combinatie van netwerkverkeer en procesgegevens documenteert uitvoering van shellcommando’s op de drie honeypots.
De systemen draaiden PHP 8.4.26 met Apache mod_php, één worker en een PHP-geheugenlimiet van 128 MiB. De 35 starts zijn dus geen telling van gehackte productieservers. De waarneming zegt ook niets over de veiligheid van PHP-FPM: die configuratie is hier niet getest. De bron-IP-adressen uit het rapport wijzen evenmin een specifieke aanvaller aan.
De PHP-projectfixes
Het PHP-project publiceerde op 21 oktober oplossingen voor beide kwetsbaarheden in versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Distributies kunnen dezelfde oplossingen als backport onder een ander versienummer aanbieden. De officiële aankondiging staat bij het PHP-project.
