CISA dodała CVE-2026-109618 i CVE-2026-109619 do katalogu znanych, wykorzystywanych podatności KEV 26 października 2026 r. Agencja zaleca organizacjom zinwentaryzowanie PHP w całej infrastrukturze, nadanie priorytetu systemom dostępnym z internetu oraz monitorowanie podejrzanej aktywności procesów PHP.
Co oznacza wpisanie PHP2Shell do katalogu KEV
Dodanie obu luk do KEV było działaniem CISA z 26 października. Projekt PHP opublikował poprawki pięć dni wcześniej, 21 października 2026 r. Wydania zawierające poprawki to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Projekt PHP opisał te wersje i zalecenia dotyczące aktualizacji, a wcześniejszy artykuł NeoTeo omawia poprawione wydania.
PHP wskazuje, że podatne mogą być instalacje obsługujące żądania internetowe, w tym PHP-FPM, Apache mod_php, php-cgi, FrankenPHP i LiteSpeed. Projekt uznaje mod_php za konfigurację najwyższego ryzyka. CVE-2026-109618 dotyczy błędu obsługi braku pamięci, a CVE-2026-109619 pozostawienia nieaktualnego stanu po zwolnieniu pamięci. Obie luki mogą umożliwić zdalne wykonanie kodu bez uwierzytelnienia.
Co operatorzy powinni zinwentaryzować i monitorować
CISA zaleca sprawdzić, gdzie w organizacji działa PHP, także wtedy, gdy jest składnikiem innego oprogramowania. Systemy dostępne z internetu powinny mieć priorytet przy wdrażaniu poprawek. W aktualizacji alertu z 23 października CISA dodała regułę Sigma pomagającą wykrywać potencjalnie podejrzaną aktywność.
Jeśli organizacja nie może od razu zaktualizować PHP albo nadal używa niewspieranej wersji 8.1 lub starszej, CISA zaleca wyłączyć systemy oparte na PHP z eksploatacji do czasu aktualizacji. Zapora aplikacji internetowej (WAF) może zapewnić pewną ochronę w okresie przejściowym. Projekt PHP zaznacza jednak, że środki tymczasowe ograniczają wybrane ścieżki ataku, ale nie zastępują poprawki.
Aktualizacja nie rozstrzyga, czy do włamania doszło wcześniej. CISA zaleca więc monitorować podejrzaną aktywność, w tym procesy PHP uruchamiające powłoki systemowe lub pobierające narzędzia.
Co mierzą wskaźniki Wiz
Wiz odnotowało spadki w swojej telemetrii, ale każda z trzech miar dotyczy innej populacji lub okresu. Firma podkreśla, że jej dane opisują obserwowane środowiska, a nie globalny spis serwerów.
| Miara Wiz | Zgłoszona zmiana | Obserwowana grupa i okres |
| Dzienna liczba unikalnych, dostępnych z internetu podatnych maszyn | Około 67% spadku | Po publicznym ujawnieniu luk 21 października; dokładnego końca obserwacji nie podano |
| Organizacje z co najmniej jedną dostępną z internetu podatną instancją | Około 47,9% spadku | Organizacje obserwowane przez Wiz; w tym okresie |
| Udział podatnych, dostępnych z internetu maszyn działających na PHP 7.3 lub starszym | Spadek z 8,3% do 5,7% | Udział w obserwowanej populacji podatnych maszyn, w ciągu pięciu dni |
Wiz wskazuje, że zmiany pokrycia skanami i wielkości obserwowanej populacji mogą wpływać na te trendy. Dane nie pozwalają określić, jaki udział w spadku miały aktualizacje, a jaki inne działania, takie jak wymiana lub wycofanie maszyn czy ograniczenie ich dostępności z internetu.
Wiz nie zaobserwowało pełnego łańcucha exploita w próbach zarejestrowanych we własnej telemetrii. Jednocześnie firma przywołała publiczny raport o udanym wykonaniu na honeypocie działającym w konfiguracji Apache mod_php z jednym workerem. Ten wynik dotyczy konkretnej konfiguracji i nie przesądza o skuteczności ataku w innych wdrożeniach. Wiz opisało własne obserwacje i ich zakres.
