Het Threat Intelligence-team van Amazon meldde woensdag dat het op 17 oktober 2026 een poging detecteerde om de recent bekendgemaakte PHP2Shell-kwetsbaarheden te misbruiken, gericht op zijn MadPot-honeypotservice, nu de fouten na het vrijgeven van patches breed in het wild worden uitgebuit.
“De exploitpoging kwam van een IP-adres dat verbonden is aan een commercieel anonimisatienetwerk,” zei CJ Moses, CISO van Amazon Integrated Security, in een bericht dat met The Hacker News werd gedeeld.
“Hoewel de kwetsbaarheid nog onder embargo stond, suggereert het gericht zijn op een honeypot vanaf een geanonimiseerd IP-adres dat de activiteit door een dreigingsactor is uitgevoerd, hoewel het onduidelijk blijft hoe die actor over exploitinformatie beschikte vóór de openbaarmaking.”
Amazon zei dat de poging werd geregistreerd vanaf “103.216.220[.]92”, een IP-adres dat is geolocaliseerd in Australië.
De activiteit heeft betrekking op een set van twee kwetsbaarheden in de PHP-core, beide gewaardeerd op 9,2 volgens het CVSS-scoresysteem. Geregistreerd als CVE-2026-109618 en CVE-2026-109619 en ontdekt door onderzoekers van Calif, OpenAI en het door Google bezitte Wiz, kunnen de fouten worden misbruikt om zonder authenticatie remote code execution op getroffen systemen te bereiken.
De tekortkomingen zitten in elke PHP-release van de 7.x- en 8.x-series en vormen een risico voor elk bereikbaar PHP-eindpunt op een getroffen server, inclusief statische formulieren, login-routes en health checks. Volgens CrowdStrike laat een aanval die de fouten uitbuit vrijwel geen digitale sporen achter.
“Er is geen authenticatie om te omzeilen, geen sessie om te stelen en geen kwetsbaar eindpunt om te ontdekken,” zei CrowdStrike. “De blootstelling is onafhankelijk van het CMS, framework of gebruikte plug-ins.”
“Worker-processen blijven stabiel, responses geven HTTP 200 terug en applicatielogs registreren geen afwijkingen, omdat er geen applicatiecode is uitgevoerd. Het enige server-side spoor is een enkele memory-limit fatal in het foutlogboek van de webserver, dat routinematig als ruis wordt afgedaan, waardoor verdedigers zonder bruikbare webtelemetrie zitten om gecompromitteerde eindpunten te identificeren.”
Oorspronkelijk stond de gecoördineerde openbaarmaking gepland voor 22 oktober 2026 om 14:00 UTC, maar details over de CVE-identifiers en een proof-of-concept (PoC) exploit kwamen eerder uit dan gepland, waardoor de PHP Foundation de release met een dag vervroegde.
“Beide problemen bevinden zich in delen van PHP die bijna elk verzoek raken: geheugenbeheer en foutafhandeling,” zei de PHP Foundation. “Hun centrale plaats in PHP maakte beide kwetsbaarheden serieus, en ook zo moeilijk te repareren zonder compatibiliteit te breken, prestatienadelen te veroorzaken of veranderingen af te dwingen in het grote ecosysteem van third-party extensies.”
Amazon zei meerdere PoC-exploits voor PHP2Shell te hebben gedetecteerd die samenvielen met de dag van het uitbrengen van de fixes, waarbij de vroegste poging rond 21 oktober 2026 om 02:00 UTC werd gemarkeerd.
Daarop volgden aanvullende exploitpogingen vanaf geanonimiseerde infrastructuur in de volgende zes uur. De variatie aan payloads en de gebruikte anonimiseringinfrastructuur wijzen erop dat meerdere dreigingsactoren betrokken zijn, aldus Amazon Threat Intelligence.
De pogingen zijn op 21 oktober 2026 geregistreerd vanaf de volgende IP-adressen –
- 31.223.184[.]166
- 37.19.200[.]5
- 134.209.159[.]64
- 103.114.163[.]188
- 95.217.98[.]37
Volgens ELLIO werd het eerste PHP2Shell-verzoek gericht op zijn sensoren waargenomen op 21 oktober 2026 om 08:36 UTC, minder dan een uur nadat “Chainguard unilateraal het embargo doorbrak en ingebouwde images publiceerde met de fix.”
“Chainguard had de patch van tevoren ontvangen zodat hun gebruikers konden updaten op het moment dat de kwetsbaarheden werden bekendgemaakt,” zei de PHP Foundation. “Elke aanvaller kon nu de fix in binaire vorm bestuderen terwijl elke andere PHP-gebruiker nog op de release wachtte. Dit negeerde wekenlange inspanningen van vele partijen richting een gecoördineerde openbaarmaking.”
De ernst van de kwetsbaarheden heeft geleid tot waarschuwingen van internationale cyberbeveiligingsinstanties zoals het Britse National Cyber Security Centre (NCSC) en de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA), die organisaties aansporen de fixes zo snel mogelijk toe te passen of te overwegen systemen offline te halen.
“Monitor webservers op verdachte activiteit, inclusief PHP-processen die onverwacht shells starten of bestanden downloaden,” zei de Amerikaanse Federal Bureau of Investigation (FBI) in een bericht op X. “Zorg dat passende procesmonitoring aanwezig is om mogelijke exploitatie te helpen identificeren.”
In een vergelijkbare waarschuwing zei de Amerikaanse National Security Agency (NSA) dat de kwetsbaarheden dreigingsactoren een directe weg naar het bestandssysteem van de server of de database kunnen bieden. OpenAI, dat de fouten beschreef als “een van de meest impactvolle beveiligingsproblemen in recente herinnering,” heeft een Codex-skill vrijgegeven om te controleren of een website of lokale PHP-binaire vatbaar is voor PHP2Shell.
Aangezien PHP een groot deel van de websites in de wereld aandrijft, vormt het enorme aanvalsoppervlak, in combinatie met de ernst en het gemak van exploitatie van de PHP2Shell-fouten, grote risico’s doordat ongeauthenticeerde aanvallers code kunnen uitvoeren en gevoelige gegevens kunnen stelen.
“PHP wordt gebruikt door bijna 70% van de websites,” zei Cloudflare. “De php2shell-kwetsbaarheden treffen de PHP-runtime zelf en kunnen aanvallers in staat stellen kwaadaardige code uit te voeren op kwetsbare servers, klantgegevens bloot te leggen of diensten te verstoren. Omdat PHP de basis vormt van veelgebruikte platforms zoals WordPress en Magento, zouden deze fouten potentieel een groot aantal applicaties op het internet kunnen treffen.”
VulnCheck’s analyse heeft PHP geïdentificeerd op 2.608.039 internet-facing hosts, waarvan meer dan 700.000 hosts PHP 3.x tot en met 7.3 draaien. Een andere groep van ongeveer 400.000 hosts draait PHP-versies 7.4, 8.0 of 8.1, terwijl 403.000 hosts ondersteunde 8.2 tot en met 8.5-branches draaien.
“PHP is een enorm populaire taal en draait grote delen van het internet,” zei Ilkka Turunen, Field CTO bij Sonatype. “De onmiddellijke prioriteit is duidelijke verantwoordelijkheid: weet waar PHP wordt gebruikt binnen je services en producten, wie de remediatie beheert en hoe snel fixes uitgerold kunnen worden.”
“Het is waarschijnlijk dat er een lange staart van omgevingen is die deze patch nog moeten toepassen, omdat PHP in veel andere distributies van besturingssystemen is ingebakken en ook in veel historische omgevingen wordt aangetroffen.”
Enkele andere opmerkelijke ontwikkelingen zijn hieronder vermeld –
- WebOps-platform Pantheon zei dat het meer dan 60.000 verdachte verzoeken heeft geblokkeerd die de kwetsbaarheid onderzochten.
- VulnCheck heeft twee hosts geïdentificeerd, 85.11.167[.]243 en 45.198.224[.]169, met de user-agent “php2shell-scan/109618” die CVE-2026-109618 weaponized om zijn honeypots te targeten, terwijl 109.71.252[.]97 beide kwetsbaarheden heeft gebruikt.
- Cloudflare heeft aanvalverkeer geobserveerd dat gericht is op zijn klanten, waarbij dreigingsactoren “de aanvalspayload muteren om te proberen onze beschermingen te omzeilen door het volume aan matches te meten en dat te kruisen met de regel-logica.”
- CloudLinux heeft gefixte pakketten vrijgegeven voor ea-php52 tot en met ea-php85 en voor elke alt-php-versie.
- Aanvullende richtlijnen en mitigaties zijn gepubliceerd door tal van beveiligings- en softwareleveranciers, waaronder Akamai, Amazon Web Services (AWS), Arctic Wolf, Automattic, Cisco Talos, Corelight, CyCognito, Fastly, Google Cloud, Hadrian, Imperva, Kaspersky, Microsoft Azure, NetSPI, Orca Security, OX Security, Palo Alto Networks Unit 42, Pentest Tools, Rapid7, ReliaQuest, SOCRadar, Searchlight Cyber, Sophos, Tanium, Vercel, watchTowr en Zscaler.
“De tijd van patch naar werkende exploit krimpt om structurele redenen,” zei Moses. “Vroeger kwam de meeste exploitatie die we observeerden nadat een publiek proof of concept werd vrijgegeven. Een klein aantal capabele actoren bouwde exploits en de rest wachtte daarop..”
“Die afhankelijkheid verzwakt. AI-ondersteunde analyse maakt het goedkoper om een patch-diff of advies om te zetten in een werkende exploit. Daardoor kunnen meer actoren binnen uren of zelfs minuten handelen zodra technische details van een kwetsbaarheid zijn onthuld.”
