Amazon Threat Intelligence poinformował, że 17 października 2026 r. honeypoty MadPot zarejestrowały próbę wykorzystania PHP2Shell. Doszło do niej cztery dni przed publicznym ujawnieniem dwóch luk i publikacją poprawek PHP. Amazon opisał ruch skierowany do honeypotów, czyli systemów-pułapek, i zaznaczył, że nie ustalił, czy próby powiodłyby się na rzeczywistych serwerach.
Co zaleca sprawdzić AWS
AWS zaleca objąć analizą co najmniej okres od 17 października. Wskazuje cztery rodzaje sygnałów do sprawdzenia:
| Sygnał | Co sprawdzić |
| Żądania HTTP | Żądania POST zawierające PHP_SESSION_UPLOAD_PROGRESS |
| Aktywność serwera WWW | Podejrzane zdarzenia w logach serwera |
| Uruchamianie procesów | Nieoczekiwane procesy lub polecenia uruchomione przez serwer |
| Zmiany plików | Nieoczekiwane modyfikacje plików |
AWS podaje, że wymienione adresy IP obejmują współdzieloną infrastrukturę anonimizującą i nie są przypisane wyłącznie do tej aktywności. Zaleca analizować połączenia z tych adresów, zamiast automatycznie je blokować.
Które wersje PHP otrzymały poprawki
PHP Foundation przypisała nazwę PHP2Shell dwóm lukom: CVE-2026-109618, związanej z uszkodzeniem pamięci przy jej wyczerpaniu, oraz CVE-2026-109619, dotyczącej nieaktualnego stanu globalnego i użycia zwolnionej pamięci. W odpowiednich warunkach luki mogły umożliwić zdalne wykonanie kodu bez uwierzytelnienia.
21 października 2026 r. PHP opublikowało poprawione wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Szczegóły tych wydań i aktualizacji opisaliśmy w omówieniu poprawek dla obu luk PHP2Shell.
Jak przebiegało ujawnienie luk
PHP Foundation podała, że identyfikatory CVE zaczęły krążyć w internecie około 15:00 UTC 20 października, bez szczegółów technicznych. Tego samego dnia o 19:30 UTC PHP opublikowało wstępne ogłoszenie i przesunęło planowane wydanie poprawek z 22 na 21 października, na 14:00 UTC.
