Twee kritieke runtime-kwetsbaarheden, PHP2Shell en Node2Shell, zijn gepatcht maar worden al actief misbruikt, ook vóór de patches beschikbaar waren.
Op 21 oktober zijn patches uitgebracht voor PHP2Shell en Node2Shell, twee ernstige kwetsbaarheden in de runtimes waarop veel webapplicaties en API's draaien. Deze fouten zitten niet in de applicatiecode zelf, maar in de onderliggende PHP- en Node.js-runtimes, waardoor elke applicatie die op een kwetsbare versie draait, risico loopt. PHP2Shell is inmiddels opgenomen in CISA’s Known Exploited Vulnerabilities list, gevolgd door Node2Shell een dag later.
De kwetsbaarheid PHP2Shell (CVE-2026-109618, CVE-2026-109619) is opgelost in PHP-versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Node2Shell (CVE-2026-111497), een fout in de Brotli-decodeercomponent van Node.js, is verholpen in Node.js 22.23.4, 24.22.1 en 26.12.1. Uit onderzoek van de Qualys Threat Research Unit blijkt dat van de 156 miljoen geïdentificeerde PHP-installaties 73% internet-facing is en 71% draait op end-of-life versies die waarschijnlijk nooit gepatcht worden. Node2Shell kan ook misbruikt worden zonder dat een applicatie expliciet de Brotli API aanroept, omdat frameworks of afhankelijkheden gecomprimeerde data kunnen decompressen, zoals bij Node.js fetch() en Express 5 request-body parsing.
Al vier dagen vóór de patches beschikbaar waren, werden er door aanvallers al pogingen gedaan om PHP2Shell te misbruiken, zoals gerapporteerd door Amazon Threat Intelligence. Deze vroege activiteiten bestonden vooral uit scannen en fingerprinting, maar escaleerden snel naar daadwerkelijke exploits. Onderzoek aan de Delft University toonde meer dan 50.000 exploitatiepogingen van PHP2Shell aan, afkomstig van meer dan 600 IP-adressen. Dit benadrukt dat traditionele patchcycli onvoldoende zijn, omdat aanvallers direct op runtime-kwetsbaarheden mikken via de applicaties en API's die erop draaien.
De uitdaging voor beveiligingsteams is niet alleen het updaten van PHP en Node.js, maar ook het detecteren of een kwetsbaarheid via een applicatie nog steeds bereikbaar is. Qualys TotalAppSec biedt hiervoor detectie- en verificatiemogelijkheden met niet-intrusieve en intrusieve QIDs, waarmee zowel kwetsbaarheden opgespoord als de effectiviteit van patches bevestigd kan worden. Het patchen van de runtime is essentieel, maar een hercontrole is nodig om te bevestigen dat de applicatie niet langer blootgesteld is.
