CISA потврди активна експлоатација на две PHP2Shell ранливости што овозможуваат далечинско извршување код

Објавено: 27.10.2026

Американската Агенција за сајбер-безбедност и безбедност на инфраструктурата (CISA) во понеделникот потврди дека напаѓачите активно ги експлоатираат неодамна закрпените ранливости PHP2Shell, додавајќи ги во својот каталог на познати експлоатирани ранливости (Known Exploited Vulnerabilities – KEV).

Двете PHP-ранливости имаат оцена 9,2 според системот за оценување CVSS и овозможуваат далечинско извршување код без автентикација на системите што се погодени.

CVE-2026-109618 – Ранливост поврзана со оштетување на меморијата при нејзино исцрпување, која овозможува далечинско извршување код без автентикација.
CVE-2026-109619 – Ранливост предизвикана од застарена состојба на внатрешно барање, која овозможува далечинско извршување код без автентикација.

Двете ранливости беа додадени во каталогот KEV откако Адел Карими, раководител за откривање закани и одговор на инциденти во Perplexity, потврди успешни обиди за далечинско извршување код врз системи-мамки (honeypot) на 24 октомври 2026 година.

„Сега имаме потврдено далечинско извршување код (RCE) со можност за искористување на откриената содржина од меморијата, а не само пад на системот проследен со сомнителен процес“, изјави Карими. „Одговорот содржеше декодирана копија од колачињата (cookies) со големина од 800 KiB, а адресата на функција, изведена од таа копија со помош на поместувањата од јавно објавениот експлоит, се појавува во подоцнежниот товар за извршување (execution payload).“

„Доказите го демонстрираат овој синџир на напад кај конфигурација со еден работник (single-worker) на mod_php, која намерно ги фаворизира условите за напад. Ова не претставува мерење на сигурноста на експлоатацијата кај други броеви на работници, верзии на PHP или апликации.“

Проблемите се отстранети во PHP верзиите 8.5.12, 8.4.27, 8.3.36 и 8.2.35, објавени на 21 октомври 2026 година. Федералните агенции имаат рок до 29 октомври 2026 година да ги применат потребните безбедносни поправки.

PHP, кратенка од PHP: Hypertext Preprocessor, е скриптен јазик што се извршува на серверска страна и се користи на приближно 70% од сите веб-страници на интернет. Според проценките што ги објави Censys, повеќе од 32,51 милиони PHP-сервиси сè уште работат со погодена верзија.

Сериозноста на ранливостите поттикна бројни безбедносни предупредувања од производители на софтвер, безбедносни компании и владини агенции ширум светот, меѓу кои:

На 26 октомври 2026 година, PHP Foundation објави и ажурирани верзии за Windows: 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1, со цел да се отстрани и ранливоста CVE-2026-111497.

Станува збор за ранливост од типот out-of-bounds write во библиотеката за декодирање Brotli, која може да овозможи и ескалација на привилегии и далечинско извршување код без автентикација.

Ранливоста е позната и под имињата Broccoli2Shell, HTTP2Shell и Node2Shell. Таа ги погодува верзиите на Brotli од 1.0.3 до 1.0.9, како и верзиите 1.1.0 и 1.2.0.

Проблемот е поправен во верзиите 1.0.10, 1.1.1 и 1.2.1, како и во други проекти што ја вклучуваат C-библиотеката, меѓу кои Node.js, Bun, Envoy Proxy, Istio, .NET и Python.

„Кај PHP-верзиите за Windows, ранливиот декодер може да биде достапен преку екстензијата cURL кога е овозможено автоматското декомпресирање на HTTP-одговорите“, соопшти PHP Foundation. „Оваа опција е стандардно оневозможена во cURL, но апликациите и библиотеките за HTTP-клиенти можат да ја овозможат.“

Извори:

The Hacker News – CISA Confirms Active Exploitation of Two PHP2Shell Flaws Enabling Remote Code Execution The Hacker News