CISA voegt twee kritieke PHP2Shell kwetsbaarheden toe aan de lijst van actief misbruikte beveiligingslekken, met waarschuwing voor snelle patching.
De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft twee kritieke PHP-kwetsbaarheden, gezamenlijk bekend als PHP2Shell, toegevoegd aan haar catalogus van actief misbruikte beveiligingslekken. Kwaadwillenden zonder toegangsrechten kunnen deze kwetsbaarheden (CVE-2026-109618 en CVE-2026-109619) gebruiken in complexe aanvallen om op niet-gepatchte systemen op afstand code uit te voeren.
Het PHP security team bracht op woensdag 21 oktober patches uit voor deze kwetsbaarheden, een dag nadat zij beveiligingsteams hadden opgeroepen de updates direct te installeren. Hoewel details over de PHP2Shell-lekken, inclusief CVE-nummers en mitigerende maatregelen, al eerder waren gelekt en er proof-of-concept exploits online verschenen, meldde het PHP-team dat deze niet functioneel waren. Diverse cybersecuritybedrijven, waaronder Cloudflare, Hadrian en watchTowr, constateerden wel grootschalige pogingen tot exploitatie vóór de publieke bekendmaking, maar deze waren niet succesvol. Onderzoekers van Amazon Threat Intelligence meldden dat aanvallers de kwetsbaarheden al vier dagen voor het uitbrengen van patches begonnen te misbruiken.
CISA voegde de kwetsbaarheden op maandag toe aan haar Known Exploited Vulnerabilities Catalog en gaf federale civiele uitvoerende instanties opdracht hun systemen uiterlijk donderdag te patchen, conform Binding Operational Directive 26-04. De cybersecurityorganisatie waarschuwde dat dit type kwetsbaarheden een veelgebruikte aanvalsvector is en aanzienlijke risico’s voor de federale infrastructuur vormt. Hoewel de richtlijn alleen voor deze instanties geldt, adviseert CISA alle organisaties om risicogebaseerd kwetsbaarhedenbeheer toe te passen en prioriteit te geven aan het verhelpen van kwetsbaarheden uit de KEV-catalogus.
Hoewel CISA nog geen verdere details heeft gedeeld over lopende PHP2Shell-aanvallen, bevestigde Adel Karimi, hoofd detectie en respons bij Perplexity, dat er in het wild exploitatie plaatsvindt. Hun honeypots registreerden bewijs van remote code execution op een Apache mod_php-installatie met PHP 8.4.26. Daarnaast publiceerde het PHP security team vrijdag mitigatieadviezen voor een nieuwe RCE-kwetsbaarheid (CVE-2026-115560) waarvoor nog geen patch beschikbaar is. Deze is alleen exploiteerbaar bij een ongebruikelijke combinatie van configuratie en applicatiecode.
PHP wordt gebruikt door ongeveer 70% van alle websites, met meer dan 5,1 miljoen PHP-hosts die online toegankelijk zijn en circa 3,8 miljoen daarvan met ten minste één open poort die aanvallen kan ontvangen. Uit onderzoek blijkt dat zodra aanvallers beschikken over geldige credentials, slechts 37% van hun acties wordt geblokkeerd, wat het belang van tijdige patching en monitoring onderstreept.
