Dve kritične ranjivosti u PHP-u, jednom od najrasprostranjenijih programskih jezika na internetu, već se uspešno koriste u hakerskim napadima. Bezbednosni istraživači potvrdili su da napadači mogu da izvršavaju komande na ranjivim serverima bez prethodne prijave ili autorizacije.
Reč je o ranjivostima CVE-2026-109618 i CVE-2026-109619, poznatim pod zajedničkim nazivom PHP2Shell. Iako su pokušaji napada ranije zabeleženi, tek sada je potvrđeno da hakeri zaista uspevaju da iskoriste ove propuste.
Potvrda je stigla od Adela Karimija, stručnjaka za otkrivanje pretnji i reagovanje na incidente u kompaniji Perplexity. Njegovi testni serveri zabeležili su uspešan napad na sistem koji koristi Apache mod_php i PHP 8.4.26.
Napadač je najpre izvukao oko 800 KiB podataka iz memorije procesa, a zatim ih iskoristio za pripremu sledeće faze napada. Server je izvršio zlonamernu komandu svega 1,6 milisekundi nakon prijema poslednjeg bajta zahteva. Nalaze je potvrdio i Markus Hačins, istraživač kompanije Expel.
PHP razvojni tim zakrpio je obe ranjivosti 21. oktobra. Međutim, Amazon Threat Intelligence je prve pokušaje napada registrovao još 17. oktobra, četiri dana pre objavljivanja bezbednosnih ispravki.
Pokušaje napada prijavile su i kompanije Cloudflare, Hadrian, watchTowr, Previdian i Patchstack, mada u njihovim slučajevima uspešno iskorišćavanje propusta nije potvrđeno.
Razmere potencijalnog problema su velike. PHP se koristi na približno 70 odsto internet sajtova, dok podaci VirusTotal-a ukazuju na više od 5,1 milion javno dostupnih PHP servera. Oko 3,8 miliona njih ima najmanje jedan otvoren port, mada to ne znači da su svi podložni ovim napadima.
U međuvremenu je otkrivena i treća ranjivost, CVE-2026-115560, koja takođe omogućava daljinsko izvršavanje koda, ali samo na sistemima sa veoma specifičnim podešavanjima. Za nju još nije dostupna zakrpa.
Prema objašnjenju PHP bezbednosnog tima, problem se javlja kada aplikacija koristi određene načine serijalizacije sesija, menja ih tokom izvršavanja i ima uključeno praćenje napretka otpremanja fajlova.
Dok ne stigne bezbednosna ispravka, programerima se preporučuje da u PHP konfiguraciji postave sledeću vrednost:
session.upload_progress.enabled=0
Administratori servera trebalo bi da što pre instaliraju dostupne PHP bezbednosne ispravke i provere da li njihove aplikacije koriste konfiguraciju pogođenu novootkrivenom ranjivošću.