A Unit 42 retirou a ligação entre PHP2Shell e o acesso inicial a um incidente envolvendo uma entidade governamental europeia. Em atualização de 25 de outubro de 2026, a equipe disse que não conseguiu confirmar o uso de CVE-2026-109618 ou CVE-2026-109619 nesse acesso.
O que a Unit 42 corrigiu
A Unit 42 retirou a atribuição que havia feito ao PHP2Shell para o acesso inicial no incidente. A correção se refere ao vínculo com as duas vulnerabilidades, não à ocorrência do incidente em si. A atualização da Unit 42 foi publicada depois da cobertura anterior da NeoTeo sobre tentativas contra as duas falhas do PHP.
O que as 35 execuções registraram
Em relatório de 24 de outubro, o pesquisador Adel Karimi correlacionou 35 solicitações HTTP da etapa de execução a 35 inicializações de /bin/sh como processos filhos de workers do Apache, em três honeypots. Honeypots são sistemas-isca usados para observar atividades de ataque. A sequência observada foi considerada compatível com a CVE-2026-109618.
As 35 execuções ocorreram nesses três honeypots; não são uma contagem de servidores de produção comprometidos. Os alvos usavam PHP 8.4.26 com Apache mod_php, um único worker e limite de memória do PHP de 128 MiB. O PHP-FPM não fez parte dessa configuração.
Versões corrigidas do PHP
Em 21 de outubro de 2026, o projeto PHP publicou as versões corrigidas 8.5.12, 8.4.27, 8.3.36 e 8.2.35 para as duas vulnerabilidades. O anúncio do projeto PHP identifica os lançamentos que contêm as correções.
