Unit 42 wycofało wcześniejsze powiązanie PHP2Shell z początkowym dostępem w incydencie dotyczącym europejskiej instytucji rządowej. 25 października 2026 r. zespół poinformował, że nie może potwierdzić, by dostęp uzyskano z użyciem CVE-2026-109618 lub CVE-2026-109619. Osobny raport opisuje wykonanie poleceń na trzech honeypotach, czyli systemach-pułapkach.
Co skorygowało Unit 42
25 października Unit 42 wycofało swoją aktualizację z 23 października, która łączyła początkowy dostęp w incydencie z PHP2Shell. Zespół nie potwierdził udziału żadnego z dwóch CVE na tym etapie ataku. Ta korekta dotyczy przypisania metody początkowego dostępu, nie samego incydentu.
Co zarejestrowały honeypoty
W raporcie z 24 października badacz Adel Karimi skorelował 35 żądań HTTP POST z 35 uruchomieniami procesu /bin/sh jako procesu potomnego workera Apache na trzech honeypotach. Systemy działały na PHP 8.4.26 z Apache mod_php, jednym workerem i limitem pamięci PHP wynoszącym 128 MiB. Zarejestrowane polecenia obejmowały próby połączeń z zewnętrznymi adresami i sprawdzania informacji o systemie. Raport techniczny Adela Karimiego opisuje tę sekwencję jako zgodną z CVE-2026-109618.
Liczba 35 oznacza uruchomienia powłoki w trzech honeypotach, a nie 35 przejętych serwerów produkcyjnych. Raport nie szacuje liczby takich kompromitacji. Opisana konfiguracja nie obejmowała PHP-FPM, więc wynik nie określa bezpieczeństwa tej konfiguracji.
Wcześniej NeoTeo opisywało obserwacje Talos dotyczące prób ataków na luki w PHP. Tamta publikacja dotyczyła prób ataków, a korekta Unit 42 odnosi się do odrębnego incydentu.
Poprawione wydania PHP
21 października projekt PHP opublikował poprawki dla CVE-2026-109618 i CVE-2026-109619 w wydaniach 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Oficjalne ogłoszenie projektu PHP wymienia te wersje; dystrybucje mogą dostarczać poprawki jako backporty pod innymi numerami pakietów.
