PHP julkaisi hätäkorjaukset kahteen kriittiseen haavoittuvuuteen, joiden avulla hyökkääjät voivat suorittaa koodia verkkopalvelimilla kirjautumatta sisään, kun CISA kehotti asentamaan päivitykset välittömästi ja Amazon kertoi hyökkäysyrityksestä, joka tapahtui neljä päivää ennen haavoittuvuuksien julkistamista.
Haavoittuvuudet, joiden tunnisteet ovat CVE-2026-109618 ja CVE-2026-109619 ja joita kutsutaan nimellä ”PHP2Shell”, vaikuttavat PHP-asennuksiin, jotka käsittelevät verkkopyyntöjä. Niiden vakavuusarvosana on 9,2/10. CISA kehotti organisaatioita asettamaan etusijalle järjestelmät, joihin pääsee internetin kautta, ja asentamaan PHP-versiot 8.5.12, 8.4.27, 8.3.36 tai 8.2.35.
CISA kehotti myös ottamaan järjestelmät pois käytöstä, jos niitä ei voida päivittää nopeasti. Amazon kertoi, että sen MadPot-houkutusjärjestelmien verkosto havaitsi hyökkäysyrityksen 17. lokakuuta. Haavoittuvuudet tulivat julkisuuteen 21. lokakuuta.
Amazon ei tiedä, miten hyökkääjä sai tiedot. Yhtiö ei myöskään tiedä, olisiko yritys onnistunut oikeaa järjestelmää vastaan. Haavoittuvuuksien yksityiskohtien vuotaminen johti siihen, että PHP julkaisi korjaukset päivää suunniteltua aiemmin.
Cloudflare kertoi hyökkäysyritysten määrän nousseen tuhansista miljooniin haavoittuvuuksien julkistamisen jälkeen. Sen mukaan hyökkääjät muuttivat hyökkäyksissä lähettämiään tietoja yrittäessään kiertää suojauksia. Kasvu osoittaa, kuinka nopeasti hyökkääjät voivat toimia, kun vakavaa haavoittuvuutta koskevat tiedot leviävät.
Ei ole selvää, johtiko julkistamista edeltänyt toiminta vahvistettuihin järjestelmämurtoihin.