Gli attacchi PHP2Shell hanno eseguito comandi shell su tre server honeypot il 24 ottobre, ha segnalato il ricercatore di Perplexity Adel Karimi. I suoi sensori hanno registrato trentacinque avvii di shell, a dimostrazione che gli attacchi sono andati oltre gli arresti anomali e gli errori di memoria osservati durante il suo precedente monitoraggio.
L'ambito del risultato è specifico: i server esca di Karimi eseguivano PHP 8.4.26 con Apache mod_php e un unico processo worker. Karimi ha descritto questa configurazione come intenzionalmente favorevole allo sfruttamento e ha avvertito che i risultati non dimostrano l'affidabilità su altre build di PHP, altre applicazioni o altri numeri di worker.
Le due vulnerabilità critiche note come PHP2Shell, CVE-2026-109618 e CVE-2026-109619, consentono l'esecuzione remota di codice senza autenticazione. Secondo SecurityWeek, PHP ha rilasciato le patch il 21 ottobre, dopo che informazioni sulle falle erano trapelate online. I tentativi di sfruttamento sono iniziati prima delle correzioni, e da allora ne sono stati registrati milioni. Prima dei risultati di Karimi, le società di sicurezza non avevano confermato che quei tentativi avessero eseguito codice con successo, sebbene i ricercatori avessero sviluppato exploit in grado di aggirare le protezioni ASLR.
Cosa hanno catturato gli honeypot
I server di Karimi mostravano pagine ordinarie generate da PHP. Durante il primo periodo di osservazione, durato poco più di ventisei ore, ha contato trenta errori di esaurimento della memoria e undici arresti anomali dei worker, senza rilevare alcuna esecuzione di codice.
L'attività del 24 ottobre ha prodotto un risultato diverso. Il traffico proveniente da un indirizzo IP ha avviato tre shell su un solo server; un secondo indirizzo è responsabile di trentadue avvii di shell distribuiti su tutti e tre gli honeypot.
Karimi ha ricostruito l'attività attraverso quattro fasi di richieste HTTP che comprendevano l'esaurimento della memoria, la divulgazione del contenuto della memoria e, infine, l'esecuzione di un comando shell. Ha dichiarato che lo schema delle richieste assomigliava molto a un exploit proof-of-concept pubblicamente disponibile e che era coerente con CVE-2026-109618. L'osservazione quindi non dimostra che entrambe le vulnerabilità PHP2Shell siano state sfruttate con successo.
Karimi ha descritto le prove come esecuzione remota di codice confermata, con una divulgazione di memoria utilizzabile. Non è stato osservato alcun download di un payload di secondo stadio. Marcus Hutchins, principal threat researcher di Expel, lo ha definito la conferma più forte dello sfruttamento di PHP2Shell in ambienti reali che avesse visto finora.
Esposizione più ampia e indicazioni sulle patch
La configurazione dimostrata è più ristretta della portata delle vulnerabilità descritta nell'avviso di CISA. L'agenzia afferma che le vulnerabilità interessano tutte le installazioni di PHP che gestiscono richieste web, incluse quelle con Apache e mod_php, PHP-FPM, php-cgi, FrankenPHP e LiteSpeed. Indica Apache con mod_php come la configurazione che PHP considera a rischio più elevato.
CISA indica PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 come versioni corrette per i rispettivi rami. Esorta ad applicare subito le patch, dando priorità ai sistemi esposti su internet, e a predisporre un inventario che tenga conto di PHP incluso in altri software.
Per le organizzazioni che non riescono ad aggiornare immediatamente, incluse quelle che usano PHP 8.1 o versioni precedenti, ormai non supportate, CISA raccomanda di mettere offline i sistemi basati su PHP finché non possono essere sottoposti a patch o aggiornati. Secondo l'agenzia, un web application firewall potrebbe offrire una certa protezione temporanea. Le indicazioni di monitoraggio includono il controllo dei processi worker di PHP che avviano shell o scaricano strumenti.
L'aggiornamento dell'avviso di CISA del 23 ottobre ha aggiunto una regola di rilevamento Sigma e ha dichiarato che, a quel momento, l'agenzia non aveva osservato sfruttamenti riusciti, prima delle osservazioni di Karimi del 24 ottobre. SecurityWeek ha riferito che, la mattina del 26 ottobre, nessuna delle due vulnerabilità era stata aggiunta al catalogo Known Exploited Vulnerabilities di CISA.
