Dvě kritické zranitelnosti PHP, označené CVE-2026–109618 a CVE-2026–109619 a souhrnně nazývané PHP2Shell, už útočníci úspěšně zneužili ke vzdálenému spuštění kódu. Potvrzený útok mířil na server Apache s modulem mod_php a PHP 8.4.26.
Důkaz zachytily honeypoty bezpečnostního výzkumníka Adela Karimiho. Analýza zaznamenaného provozu podle něj ukazuje, že útočníci získali výpis dat z paměti a využili jej při následném spuštění příkazu. Zjištění potvrdil také druhý odborník, Marcus Hutchins.
Vývojáři PHP vydali opravy 21. října. Před jejich zveřejněním se objevily informace o zranitelnostech i nefunkční ukázkové exploity. Bezpečnostní firmy zaznamenávaly pokusy o útok, ale dosud bez potvrzeného úspěchu. Správcům se přesto doporučuje aktualizovat PHP na opravené verze.
Článek zároveň upozorňuje na další zranitelnost umožňující vzdálené spuštění kódu (CVE-2026–115560), pro kterou zatím není oprava. Jako dočasné opatření vývojáři PHP doporučili vypnout vlastnost session.upload_progress.enabled nastavením na 0. Riziko se týká systémů se specifickou kombinací konfigurace a aplikačního kódu.
ČLÁNKY DO MAILU