Chyby PHP2Shell jsou terčem milionů pokusů o zneužití

Útočníci ve velkém zneužívají dvě kritické chyby PHP2Shell v PHP. Cloudflare eviduje miliony pokusů a Amazon Threat Intelligence zachytil první už 17. října, čtyři dny před vydáním oprav. Ohrožené jsou weby a aplikace běžící na PHP.

Chyby nesou označení CVE-2026-109618 a CVE-2026-109619. Obě mají závažnost 9,2 z 10 a zasahují přímo interpret PHP, tedy software, který na serveru spouští kód webu. Problém se neomezuje na konkrétní redakční systém nebo doplněk. Útočník bez přihlášení může na zranitelném serveru spustit škodlivý kód.

Cloudflare zaznamenal tisíce pokusů během deseti hodin před veřejným oznámením. Do 45 minut po zveřejnění jejich počet vzrostl na desítky tisíc a během dvou hodin na stovky tisíc. Následně už Cloudflare počítal pokusy v milionech. Útočníci navíc mění zasílaný kód a zkoušejí obejít webový aplikační firewall, který filtruje podezřelé požadavky před jejich doručením na server.

Amazon zachytil první pokus pomocí sítě návnad MadPot. Dne 21. října zaznamenal další pokusy z různých anonymizovaných adres, některé přibližně 12 hodin před vydáním oprav. Rozdílné postupy podle Amazonu ukazují na více útočníků. Není však potvrzeno, zda byly tyto pokusy úspěšné i proti serverům v běžném provozu.

Cloudflare nasadil ochranu do bezplatných i placených tarifů, nepovažuje ji však za náhradu aktualizace PHP. U webů a interních aplikací na PHP proto samotná instalace opravy nestačí. Podezřelou aktivitu má smysl prověřit nejméně od 17. října, protože pokusy o zneužití začaly ještě před veřejným oznámením chyb.