Qualys introduceert een script om PHP op Windows en macOS automatisch te upgraden en zo de PHP2Shell kwetsbaarheden te verhelpen.
De kritieke PHP-kwetsbaarheden CVE-2026-109618 en CVE-2026-109619, gezamenlijk bekend als PHP2Shell, maken ongeauthenticeerde remote code execution mogelijk op blootgestelde PHP-servers. Hoewel Linux-distributies de patches via pakketten aanbieden, ontbreekt een dergelijke oplossing voor Windows en macOS. Dit komt doordat Microsoft en Apple PHP niet standaard leveren, waardoor de fix een handmatige upgrade van PHP vereist per server.
Qualys TruRisk Eliminate biedt met de Custom Assessment and Remediation (CAR) functionaliteit een oplossing voor dit probleem. Hiermee kunnen beheerders een script uitvoeren dat elke PHP-installatie op Windows en macOS automatisch bijwerkt naar de nieuwste patchversie binnen de huidige minor release. Op Windows controleert het script de officiële build via SHA256-hashing en voert bij een mislukking een rollback uit. Op macOS verloopt de upgrade via Homebrew, aangezien PHP sinds macOS Monterey (12.0) niet meer standaard wordt meegeleverd. Indien een host een end-of-life PHP-versie draait, stopt het script en rapporteert dit, waarna een alternatieve mitigatie kan worden toegepast.
Hetzelfde script kan worden uitgevoerd via de Qualys Cloud Agent of, bij afwezigheid daarvan, via een geauthenticeerde Qualys-scanner. Voor agentloze uitvoering zijn Windows- of SSH-credentials nodig met rechten om services te stoppen en PHP-binaries te vervangen. Tijdens de upgrade worden webservers zoals IIS, Apache of php-fpm herstart, waardoor een onderhoudsvenster noodzakelijk is.
Deze aanpak sluit de kloof die traditionele patchmanagementsystemen laten op Windows en macOS, waar geen officiële PHP-installers of automatische updaters beschikbaar zijn. De oplossing maakt het mogelijk om kwetsbare PHP-servers effectief te detecteren en te herstellen, waarmee het risico op exploits via PHP2Shell aanzienlijk wordt verminderd.
