PHP släppte akuta korrigeringar för två kritiska brister som skulle kunna göra det möjligt för angripare att köra kod på webbservrar utan att logga in, samtidigt som CISA uppmanade till omedelbara uppdateringar och Amazon rapporterade ett försök att utnyttja bristerna fyra dagar innan de blev offentliga.
Bristerna, med namnen CVE-2026-109618 och CVE-2026-109619 och samlingsnamnet ”PHP2Shell”, påverkar PHP-installationer som hanterar webbförfrågningar. De har allvarlighetsbetyget 9,2 av 10. CISA uppmanade organisationer att prioritera system som är åtkomliga via internet och installera PHP-versionerna 8.5.12, 8.4.27, 8.3.36 eller 8.2.35.
CISA rekommenderade också att system tas offline om de inte kan uppdateras snabbt. Amazon uppgav att dess nätverk MadPot med lockbetessystem registrerade ett attackförsök den 17 oktober. Bristerna blev offentliga den 21 oktober.
Amazon vet inte hur angriparen fick tag på informationen. Företaget vet inte heller om försöket skulle ha fungerat mot ett verkligt system. Offentliggörandet följde på en läcka av information om bristerna, vilket ledde till att PHP släppte korrigeringarna en dag tidigare än planerat.
Cloudflare rapporterade att antalet attackförsök ökade från tusental före offentliggörandet till miljontal efteråt. Företaget uppgav att angripare ändrade den data de skickade i sina attacker i försök att ta sig förbi skydden. Ökningen visar hur snabbt angripare kan agera när information om en allvarlig brist sprids.
Det är fortfarande oklart om aktiviteten före offentliggörandet ledde till några bekräftade systemintrång.