PHP2Shell obejmuje dwie luki w PHP, CVE-2026-109618 i CVE-2026-109619. Według relacji PHP Foundation w 2024 roku dostrzeżono wczesne oznaki błędu związanego z wyczerpaniem pamięci, który leży u źródeł CVE-2026-109618. Nie oznaczało to jeszcze wykazania konkretnego exploita. Opóźnienie poprawki wiązało się z kosztami technicznych rozwiązań, problemami w procesie decyzyjnym i ograniczonymi zasobami.
W poprzednim artykule o wpisaniu PHP2Shell do katalogu KEV opisaliśmy działania CISA. Tutaj cofamy się do wcześniejszego sygnału i przedstawiamy dalszą sekwencję zgłoszeń.
Co zauważono w 2024 roku
Podczas prac nad ustaleniem z zewnętrznego audytu bezpieczeństwa Quarkslab deweloper PHP dostrzegł wczesne oznaki problemu z obsługą błędu braku pamięci. Według relacji PHP Foundation był to trop prowadzący do przyczyny CVE-2026-109618, a nie dowód, że obie późniejsze luki rozpoznano już wtedy jako możliwe do wykorzystania. W 2024 roku nie wykazano konkretnego exploita.
Dlaczego poprawka się opóźniła
Rozważane rozwiązania miały różne koszty. Mogły naruszyć zgodność wsteczną, wprowadzić ryzyko odmowy usługi albo wpłynąć na rozszerzenia PHP. PHP Foundation wiązała wielomiesięczne opóźnienie także z problemami w procesie podejmowania decyzji i ograniczonymi zasobami. Wybór poprawki wymagał więc pogodzenia usunięcia błędu z ryzykiem wpływu na działające wdrożenia.
Jak rozwijały się zgłoszenia w 2026 roku
Późniejsza sekwencja obejmuje zgłoszenia kilku badaczy i organizacji. Ryan Austin z firmy Calif zgłosił ustalenie dotyczące zdalnego wykonania kodu 11 sierpnia 2026 roku; tego samego dnia OpenAI niezależnie zgłosiło tę samą przyczynę źródłową. Kolejne raporty nadeszły od Wiz Research i OpenAI.
| Data | Wydarzenie |
| 2024 | Deweloper PHP zauważył wczesne oznaki problemu związanego z wyczerpaniem pamięci podczas prac nad ustaleniem z audytu Quarkslab. |
| 11 sierpnia 2026 | Ryan Austin z Calif zgłosił ustalenie dotyczące zdalnego wykonania kodu. OpenAI niezależnie zgłosiło tego dnia tę samą przyczynę źródłową. |
| 24 sierpnia 2026 | Wiz Research zgłosiło swoje badania zespołowi bezpieczeństwa PHP. |
| 18 września 2026 | Według relacji PHP Foundation OpenAI zgłosiło dodatkowe wektory ataku. |
| 21 października 2026 | PHP opublikowało poprawione wersje: 8.2.35, 8.3.36, 8.4.27 i 8.5.12. |
Ta chronologia pokazuje odrębne wkłady badaczy i organizacji, w tym zgłoszenie Ryana Austina i raporty OpenAI oraz Wiz Research. Poprawki dla głównych wydań ukazały się 21 października 2026 roku.
