Šta se desilo?

Amazon Threat Intelligence objavio je da je u MadPot telemetriji pronašao pokušaj PHP2Shell eksploatacije od 17. oktobra. Javno objavljivanje i zakrpe usledili su 21. oktobra u 14:00 UTC. Nije poznato kako je akter došao do informacija pre objave.

Koga pogađa?

Prioritet za proveru imaju nezakrpljeni PHP sistemi koji obrađuju web zahteve. To nije isto što i tvrdnja da je svaki PHP sajt već kompromitovan. Uspeh eksploatacije zavisi od ranjivog koda, konfiguracije i načina obrade zahteva.

Kako se zaštititi?

  • Primenite PHP 8.2.35, 8.3.36, 8.4.27 ili 8.5.12, odnosno odgovarajući vendor paket sa ispravkom.
  • Proverite PHP koji stvarno obrađuje web zahteve, uključujući sve radne procese i kontejnere.
  • Pregledajte dostupnu evidenciju najmanje od 17. oktobra i sačuvajte je za istragu.
  • Istražite neočekivane procese, shell pokretanja i izmene datoteka web aplikacije.
  • Dok zakrpa nije primenjena, ograničite pristup izloženim servisima prema poslovnoj potrebi.
  • WAF i indikatore koristite kao dodatnu detekciju, ne kao dokaz da je sistem zakrpljen.

Tehnički detalji

CVE-2026-109618 odnosi se na oštećenje stanja pri obradi nedostatka memorije, a CVE-2026-109619 na upotrebu zastarelog globalnog stanja posle oslobađanja memorije. PHP ih označava kao kritične. Za CVE-2026-109618 zvanični advisory navodi CVSS 4.0 ocenu 9,2, uz visoku složenost i dodatne uslove napada.

Zašto je važno?

Datum objave ne predstavlja pouzdanu početnu granicu istrage. AWS opisuje dodatne pokušaje pre objave i širu eksploataciju nakon nje, ali ne daje ukupan broj uspešno kompromitovanih organizacija.

Preporuka Sajber Radara

Sprovedite nadogradnju i proveru mogućeg ranijeg prodora kao dva odvojena zadatka. Pojedinačan HTTP status, greška zbog memorije ili IP adresa nisu dovoljni za zaključak; povežite mrežne i sistemske tragove.