Twee kritieke PHP2Shell RCE-kwetsbaarheden zijn met succes misbruikt in het wild, bevestigd door honeypot-onderzoek en meerdere cybersecuritybedrijven.
Twee kritieke remote code execution (RCE) kwetsbaarheden in PHP, bekend als PHP2Shell (CVE-2026-109618 en CVE-2026-109619), zijn met succes misbruikt in het wild. Dit werd vastgesteld door Adel Karimi, detection en response lead bij Perplexity, die via honeypots bewijs vond van een bevestigde remote code execution op een Apache mod_php installatie met PHP versie 8.4.26. Karimi rapporteerde dat de exploit niet alleen een crash veroorzaakte, maar ook bruikbare geheugeninformatie vrijgaf en een shellcommando uitvoerde binnen 1,6 milliseconde na het verzoek.
De bevindingen van Karimi zijn bevestigd door Marcus Hutchins, threat researcher bij Expel, die meerdere meldingen van succesvolle PHP2Shell-exploitaties volgde. Hij noemde dit de meest gedetailleerde en kwalitatief hoogstaande bevestiging van een exploitatie in het wild tegen een Apache mod_php omgeving met PHP 8.4.26. De PHP security team bracht op 21 oktober 2026 patches uit voor deze kwetsbaarheden, een dag nadat zij beheerders hadden gewaarschuwd om de updates zo snel mogelijk te installeren. Hoewel er voor de patchrelease al details en proof-of-concept exploits online verschenen, waren deze volgens het PHP-team niet functioneel.
Verschillende cybersecuritybedrijven, waaronder Cloudflare, Hadrian en watchTowr, detecteerden exploitatiepogingen vóór de publieke bekendmaking, maar classificeerden deze als onsuccesvol. Ook Amazon Threat Intelligence signaleerde aanvallen op de kwetsbaarheden vier dagen voor de patches beschikbaar waren. Volgens het TRACE-team van Dataminr bleef de kwaadaardige activiteit tot Karimi’s rapport beperkt tot scannen, fingerprinting en niet-functionele exploits zonder bekende compromitteringen.
Op vrijdag deelde het PHP security team ook mitigatiemaatregelen voor een nieuwe RCE-kwetsbaarheid (CVE-2026-115560) waarvoor nog geen patch beschikbaar is. Deze kwetsbaarheid is alleen exploiteerbaar bij een ongebruikelijke combinatie van configuratie en applicatiecode. Totdat een patch uitkomt, adviseert het PHP-team beheerders om de instelling session.upload_progress.enabled op 0 te zetten om mogelijke aanvallen te blokkeren, een maatregel die ook al werd aanbevolen voorafgaand aan de PHP2Shell patches.
PHP is een veelgebruikte webprogrammeertaal, toegepast door ongeveer 70% van alle websites wereldwijd. Volgens recente schattingen van VirusTotal zijn er meer dan 5,1 miljoen PHP-hosts online, waarvan circa 3,8 miljoen met ten minste één open poort die kwetsbaar kan zijn voor aanvallen. Uit onderzoek blijkt dat zodra aanvallers geldige credentials hebben, slechts 37% van hun acties wordt geblokkeerd, wat de impact van dergelijke kwetsbaarheden onderstreept.
