Dreigingsactoren zijn waargenomen terwijl ze vergeefs probeerden de recent openbaar gemaakte PHP2Shell-kwetsbaarheden te misbruiken om geïnfecteerde systemen in te schakelen in een Mirai-botnetvariant genaamd Potassium, nu duidelijk wordt dat het weaponizen van de fouten mogelijk lastiger is dan eerder gedacht.
De aanvallen zijn gericht op CVE-2026-109618 en CVE-2026-109619 (CVSS-scores: 9.2), die ongeauthenticeerde remote code-executie (RCE) via speciaal opgemaakte HTTP-aanvragen mogelijk maken. De kwetsbaarheden zijn gepatcht in PHP-versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35.
“Uit analyse van het sample bleek dat het een geüpdatete en aanzienlijk uitgebreide versie is van de Mirai-afgeleide botnetvariant die begin 2026 werd geïdentificeerd,” zei Sophos. “Het sample vertoont downloader- en netwerkverstoringsfunctionaliteit.”
Concreet lost het een hard-gecodeerd, versleuteld command-and-control (C2)-adres op, maakt het een TCP-verbinding naar 134.199.154[.]64 en stuurt het een HTTP-aanvraag. De malware controleert vervolgens op een HTTP 200-responsstatus en verifieert dat de resulterende payload begint met de ELF-magic-bytes 7F 45 4C 46, wat aangeeft dat het een Linux ELF-binary als vervolgpayload verwacht.
“Een resolverfunctie ondersteunt IPv4-adressen en hostname-resolutie, met extra fallback-resolutielogica die hard-gecodeerde publieke DNS-servers bevat zoals 8.8.8.8, 1.1.1.1 en 1.0.0.1,” voegde Sophos toe. “Zoals historisch bij Mirai-malware, kan dit sample DDoS-aanvallen uitvoeren.”
De aanvallen bleken afkomstig te zijn van de volgende drie IP-adressen –
- 85.11.167[.]243
- 217.60.242[.]76
- 45.198.224[.]169
Deze aanvalsources hebben contact opgenomen met 92.118.112[.]100 om een loader op te halen, die verantwoordelijk is voor het uitrollen van de Mirai-botnetvariant. Verdere analyse van het artefact in een netwerkgeïsoleerde sandbox toonde aan dat het botnet een DNS-query uitvoert voor thunder.godofthunder[.]st, dit resolveert naar 134.199.154[.]64 en een C2-kanaal opzet op TCP-poort 50792.
Het uiteindelijke doel is het uitvoeren van aanhoudende volumetrische flood-aanvallen tegen twee aangrenzende hosts binnen één Oekraïens netwerk –
- 45.88.138[.]0
- 45.88.138[.]44
Het ontbreken van een succesvolle aanval met PHP2Shell in het wild suggereert dat dreigingsactoren “moeite hebben” met het bedenken van betrouwbare exploits, aldus Sophos.
Potassium werd voor het eerst gesignaleerd door botnet-trackingplatform Synthient in maart 2026. In een vervolgonderzoek beschreef Nokia Deepfield de malware als een Mirai-fork die “ChaCha20 gebruikt voor de statische configtabel (de eerste keer dat we ChaCha20 op deze manier in een Mirai-variant hebben gezien), een enkele statische byte (0xED) voor alles op het netwerk, een benoemd reverse-shell-protocol (SHELL / SHOUT) op hetzelfde kanaal als aanvalcommando’s, en een DNS-misdirection-schema dat de twee 16-bit helften van elk opgelost A-record verwisselt vóór connect().”
Arctic Wolf, dat ook aanvullende details deelde van dezelfde weaponized PHP2Shell-exploitpoging, zei dat het botnet 24 commando’s ondersteunt om flood-aanvallen te faciliteren over ICMP, TCP, UDP en het OpenVPN-protocol. Beide builds voor ARM en x86 bevatten ook configuratie voor het resolven van C2-infrastructuur via Ethereum Name Service (ENS).
“ENS-resolutie was in beide samples uitgeschakeld, wat aangeeft dat de capaciteit aanwezig maar inactief was,” zei de cybersecurityfirma. “Als dit in toekomstige varianten wordt ingeschakeld, kan het verstoring bemoeilijken door de afhankelijkheid van registrars en DNS-providers te verminderen, waardoor verdedigers ENS-namen, RPC-infrastructuur en opgeloste command-and-control-adressen zouden moeten blokkeren.”
Dreigingsactor misbruikt massaal PHP2Shell
De ontwikkeling komt terwijl SOCRadar zei PHP2Shell-exploittooling voor PHP 8.4.26 te hebben gevonden op een blootgestelde door-aanvaller-gecontroleerde server (“206.188.197[.]105:9999”), naast drie screening-scripts die live websites controleren op de randvoorwaarden waar de PHP2Shell-keten van afhankelijk is.
De scripts controleerden, volgens het cybersecuritybedrijf, ongeveer 20 publieke websites op de PHP-versie, serverconfiguratie en sessie-instellingen die de exploit nodig heeft. Deze sites bestrijken Canada, China, Finland, Frankrijk, Polen, het Verenigd Koninkrijk en de Verenigde Staten.
“Het centrale bestand, aslr_exploit.py, is een Python-exploit die de operator een ‘one-click’ PHP2Shell-exploit noemt voor PHP 8.4.26 onder Apache mod_php,” zei SOCRadar. “Het werkt volledig via gewone HTTP-aanvragen in drie brede stappen: het recyclet de PHP-worker van het doel, lekt geheugenadressen via de session-cookie om address space layout randomization (ASLR) te omzeilen, en misbruikt vervolgens PHP’s session upload progress-afhandeling om een shell-commando uit te voeren.”
ASLR, afkorting van Address Space Layout Randomization, is een beveiligingsmechanisme dat de geheugenlocaties die door systeem- en programmacode worden gebruikt randomiseert elke keer dat ze worden uitgevoerd, waardoor het voor aanvallers moeilijker wordt te voorspellen waar code wordt geladen. Deze ingebouwde verdediging helpt bij het afweren van geheugen-gebaseerde exploits, zoals buffer-overflow-aanvallen.
De drie andere begeleidende scripts zijn als volgt –
- php2shell_fp.py, dat PHP-versie en serverconfiguratie uitleest van ongeveer 20 sites
- deep_probe.py, dat 11 van die sites onderzoekt op zichtbare fouten, phpinfo-pagina’s, file inclusion en session injection om te bepalen of ze aan de exploit-voorwaarden voldoen
- wp_attack.py, dat zich richt op vijf WordPress-sites om gebruikers- en plugin-enumeratie uit te voeren
Dat gezegd hebbende is er geen bewijs van shell-toegang op een van de gescreende sites per 22 oktober 2026, wat aangeeft dat de doelwitten niet voldeden aan de precondities van de exploit.
De toolset wordt beoordeeld als onderdeel van een bredere operatie waarbij de aanvaller API-sleutels en backend-URL’s uit client-side JavaScript van websites extraheert, systematisch web- en API-routes aftast voor ongeauthenticeerde toegang, en een pool van roterende proxies gebruikt om verkeer te verspreiden en snelheidslimieten en blokkades te ontwijken.
“Gerelateerde artefacten op de server wijzen bovendien op web-archive-reconnaissance en geautomatiseerde CAPTCHA-oplossing,” merkte SOCRadar op. “Gezamenlijk wijst de toolset op een financieel gemotiveerde actor die zich richt op cryptocurrency- en Web3-doelen.”
Dezelfde exploitatie-server (“206.188.197[.]105”) is ook gemeld door Hunt.io, dat zei dat de dreigingsactor achter de operatie 123 servers heeft getarget verspreid over cloud-, shared-hosting- en ISP-netwerken. “Ongeveer 57 draaien PHP, veelal op niet-ondersteunde 5.x tot 7.x,” zei het threat-intelligencebedrijf. “Tien wezen het verzoek direct af, waaronder drie van de vijf achter Cloudflare. Geen enkele werd geëxploiteerd.”
In totaal bevatten 10 open directories PHP2Shell-gerelateerde tooling –
- 206.188.197[.]105
- 102.210.149[.]166
- 122.10.110[.]72, 122.10.17[.]49
- 58.221.60[.]160:8000
- 41.223.30[.]7, 157.230.117[.]70
- 104.219.251[.]31
- 107.150.31[.]151
- 217.160.132[.]82
- 47.100.125[.]108, 54.169.109[.]7, 139.162.165[.]136
ASLR-bescherming omzeilen
De openbaarmaking valt ook samen met de ontwikkeling van een PHP2Shell-exploit die remote code-executie kan bereiken op ASLR-ingeschakelde x86-64-systemen met PHP’s aanbevolen productieconfiguratie.
“Een van de grootste obstakels is address space layout randomization (ASLR), een bescherming die ontworpen is om geheugen-corruptie-kwetsbaarheden veel moeilijker te exploiteren,” vertelde Spencer McIntyre, director of exploit development bij VulnCheck, aan The Hacker News.
“Ons team ontwikkelde een nieuwe techniek […] die de twee kwetsbaarheden aan elkaar ketent, waarbij een geheugenlek wordt gebruikt om ASLR te omzeilen en remote code-executie te bereiken op x86-64-systemen, zelfs met PHP’s aanbevolen productie-instelling voor het tonen van fouten.”
“We hebben geen andere publieke of commerciële exploit geïdentificeerd die dit onder dezelfde omstandigheden bereikt. Het ontwikkelen van deze capaciteit was allesbehalve triviaal, maar het toont aan dat een belangrijke barrière voor het misbruiken van PHP2Shell op productiesystemen met standaardconfiguratie kan worden overwonnen.”
De gevolgen van succesvolle exploitatie van de fouten zijn ernstig, omdat het een aanvaller toestaat code uit te voeren met de permissies van de webapplicatie, waarbij mogelijk toegang wordt verkregen tot API-sleutels, databaseverbindingen en andere interne services die de applicatie kan bereiken, aldus VulnCheck.
“Een aanvaller heeft niet per se administrator- of root-toegang nodig om aanzienlijke schade aan te richten,” zei McIntyre. “Toegang tot een kwetsbare webapplicatie kan een voet aan de grond geven in andere delen van de infrastructuur van een organisatie.”
Veel exploitpogingen, geen succesvolle
De bevindingen passen bij rapporten dat brede exploitpogingen gericht op de fouten gaande zijn, onder meer door een IP-adres uit China dat is waargenomen terwijl het probeerde een webshell te droppen via een server-side sessionbestand.
Webinfrastructuurbedrijf Cloudflare zei dat het tientallen duizenden pogingen zag om de fout te misbruiken 45 minuten nadat de kwetsbaarheden publiek waren aangekondigd, waarna dat opliep tot honderden duizenden binnen 2 uur en miljoenen in de vroege uren van 22 oktober 2026.
“Tot nu toe is het merendeel van de activiteit scannen, samen met enkele ongecoördineerde pogingen om diverse payloads te leveren,” zei Cisco Talos. “Dat is te verwachten: scannen of basale exploitatie met publieke proof-of-concept (PoC)-code kost veel minder moeite dan het integreren van een kwetsbaarheid in de eigen tooling van een actor.”
Telemetry van Previdian heeft tot nu toe honderden exploitpogingen geregistreerd gericht op CVE-2026-109618 vanaf tientallen IP-adressen, en in mindere mate tegen CVE-2026-109619. Het eerste exploit-event gericht op CVE-2026-109618 werd geregistreerd op 21 oktober 2026 om 13:05 UTC.
“We hebben veel PHP2Shell-probes en exploitpogingen in onze honeypots gezien,” zei Previdian. “Op het moment van schrijven hebben we geen succesvolle remote code-executie en geen gedropte PHP-bestanden waargenomen. Betrouwbare RCE blijkt mogelijk lastiger te bereiken dan aanvankelijk verwacht.”
Deze inschatting is ook bevestigd door Beelzebub, Dataminr en Wordfence, waarbij de waargenomen activiteit tot nu toe beperkt is tot scannen, fingerprinting en pogingen om commando-uitvoering te bevestigen, inloggegevens en geheimen uit omgevingsvariabelen te stelen, persistente toegang te installeren en een tweede-stage payload op te halen en uit te voeren.
Wordfence deelde de volgende IP-adressen als enkele van degenen die proberen de fouten te misbruiken –
- 87.121.84[.]174
- 181.215.186[.]252
- 185.196.220[.]132
- 185.161.210[.]29
- 152.233.51[.]69
- 45.134.225[.]16
- 107.189.14[.]87
- 193.47.62[.]24
- 2409:40d2:204e:4be:2a1f:f9c9:a055:e00b
- 103.147.220[.]17
De ernst van de fouten heeft er ook toe geleid dat meerdere overheids-, school- en ziekenhuiswebsites in Azië, Europa en Noord-Amerika uit voorzorg offline zijn gehaald. De Britse overheid heeft bevestigd dat 32 digitale diensten niet beschikbaar zijn en vier gedeeltelijk niet beschikbaar, grotendeels als gevolg van voorzorgsuitschakelingen terwijl beveiligingsupdates en mitigaties werden toegepast. Het National Cyber Security Centre (NCSC) heeft ongeveer 50.000 waarschuwingen uitgegeven aan bedrijven en andere organisaties.
“De kwetsbare code gaat terug tot PHP 5.4, uitgebracht in 2012,” zei het Sysdig Threat Research Team. “De bugs zitten in de PHP-engine, niet in een applicatie. Om die reden blijft elk WordPress-, Drupal- of Joomla-site met schone applicatiecode toch blootgesteld.”
Aangezien er geen fixes beschikbaar zijn voor oudere versies van PHP, wordt verwacht dat PHP2Shell een lange nasleep zal hebben, in de trant van Log4Shell. Volgens schattingen van het door Google beheerde VirusTotal draaien ongeveer 272.000 hosts een ondersteunde PHP-branch (8.2 tot 8.5). Organisaties op PHP 7.4, 8.0 of 8.1 wordt geadviseerd naar een ondersteunde branch te migreren of een distributie-backport te gebruiken.
Attack surface management-platform Censys zegt momenteel meer dan 3,08 miljoen hosts en 56,6 miljoen webproperties te detecteren die PHP draaien. Hiervan worden meer dan 34,4 miljoen PHP-services nog steeds als kwetsbaar beoordeeld per 23 oktober 2026.
“Veel applicaties met webservers en vergelijkbaars zullen waarschijnlijk kwetsbaar blijven totdat hun respectieve leveranciers deze items patchen,” zei Dataminr. “De implicatie hiervan is dat veel organisaties waarschijnlijk in sommige mate langer kwetsbaar blijven dan wanneer patches direct op beheerde en eigendomstoepassingen worden toegepast.”
