Autor: Root.cz s využitím Zoner AI

Včera odpoledne byly vydány záplaty na vážné zranitelnosti PHP nazvané PHP2Shell. Amazon tvrdí, že zaznamenal první pokus o zneužití zranitelností už 17. října, tedy čtyři dny před jejich veřejným zveřejněním. Útok zachytila jeho síť honeypotů MadPot. Pokus mířil na server určený k přilákání útočníků, nikoli na běžný produkční web.

Zdrojový IP adresa byla podle Amazonu spojena s komerční anonymizační sítí. Z těchto okolností zástupci firmy usuzují, že šlo o skutečný pokus o útok. Nedokáží však vysvětlit, jak se útočník o zranitelnostech dozvěděl před jejich zveřejněním.

Záznam pokusu o útok ze 17. října nebyl podle Amazonu jediný. Několik hodin před zveřejněním zranitelností byly zaznamenány další pokusy z různých zdrojů, což může ukazovat na zapojení více aktérů. Po zveřejnění oprav pak podle bezpečnostních firem začaly pokusy o zneužití přibývat. Není však jisté, zda každý zachycený pokus mohl uspět proti skutečně zranitelnému serveru.

Amazon doporučuje správcům při hledání známek útoku nezačínat až dnem zveřejnění zranitelností, ale prověřit podezřelou aktivitu nejméně od 17. října. Současně je důležité nasadit dostupné opravy co nejdříve: PHP2Shell se týká samotného běhového prostředí PHP, které používá řada webů a aplikací, nikoli jen jediné konkrétní platformy.

PHP2Shell označuje dvě kritické zranitelnosti PHP, sledované jako CVE-2026–109618 a CVE-2026–109619. Za určitých okolností mohou umožnit vzdálené spuštění kódu na serveru bez přihlášení. PHP vydalo opravené verze 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Vývojáři PHP doporučili všem správcům co nejdrychlejší záplatování.