Aanvallers gebruikte het tweetal PHP2Shell-kwetsbaarheden al op 17 oktober. Dat is vier dagen voordat de PHP Foundation ze openbaar maakte. Dat meldt Amazon op basis van data uit de eigen honeypots. Inmiddels vindt grootschalig misbruik plaats, met een patch beschikbaar die niet alle gevaren afwendt. Amazon adviseert beheerders hun PHP-systemen te controleren en daarbij terug te gaan tot 17 oktober.
Amazon Threat Intelligence zag de eerste exploitpoging op 17 oktober binnenkomen bij MadPot, het honeypotnetwerk van het bedrijf dat over het gehele internet verspreid is. Het verkeer kwam van een IP-adres van een commercieel anonimiseringsnetwerk. Op dat moment lag er nog een embargo op CVE-2026-109618 en CVE-2026-109619, die gezamenlijk PHP2Shell vormen. Diverse partijen wisten van de lekken af, zodat ze updates voor hun PHP-gebaseerde producten konden voorbereiden. Het naar buiten brengen van de kwetsbaarheden mocht echter niet.
Amazon weet niet hoe de aanvaller aan de informatie kwam. PHP beschuldigde eerder Chainguard van het lekken van informatie. Details over de kwetsbaarheden en gepatchte images zouden al vóór de geplande openbaarmaking zijn uitgelekt.
Embargo sneuvelde vroegtijdig
Oorspronkelijk zouden de patches vandaag verschijnen. Maar dinsdagavond dook informatie over beide CVE’s op Hacker News op. De PHP Foundation haalde de release daarop naar voren, namelijk woensdag 21 oktober om 16.00 uur. Ook in de uren daarvoor registreerde Amazon al allerlei aanvalspogingen. Na het opheffen van het embargo verschenen binnen enkele uren extra proof-of-concepts. Inmiddels is er volgens Amazon sprake van grootschalig misbruik.
RCE zonder authenticatie
Beide kwetsbaarheden zitten in de PHP-runtime en laten ongeauthenticeerde aanvallers op afstand code uitvoeren. Volgens Tenable draait CVE-2026-109618 om de afhandeling van out-of-memory-situaties, wat tot geheugencorruptie kan leiden. CVE-2026-109619 is een use-after-free-probleem waarbij achtergebleven state tussen requests in dezelfde worker te misbruiken valt. Code draait vervolgens met de rechten van het webserverproces, meldt Sophos. Ook applicaties op WordPress, Drupal en Joomla kunnen getroffen worden.
De gepatchte versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Voor PHP 7.4 tot en met 8.1 is er geen reguliere officiële fix, terwijl versies 5.4 tot en met 7.3 end-of-life zijn.
Lees ook: PHP legt internet plat: Waarom PHP2Shell elk bedrijf raakt