Изследователи по сигурността предупреждават, че милиони уебсайтове остават изложени на риск, тъй като опитите за експлоатация на две критични уязвимости в PHP са нараснали рязко.

Уязвимостите, проследявани като CVE-2026-109618 и CVE-2026-109619, могат да позволят на атакуващ да постигне отдалечено изпълнение на код (RCE). Всяка от тях има рейтинг на критичност 9.2 от 10.

Опитите за експлоатация са скочили рязко, откакто уязвимостите бяха разкрити за първи път, като изследователите са засекли активност на заплаха от Potassium – ботнет, произлязъл от Mirai и първоначално открит през март.

От Arctic Wolf съобщиха, че са наблюдавали опит за експлоатация, съчетаващ „потвърждение за изпълнение на команди с доставка на злонамерен код от втори етап“.

В инфраструктурата за хостване на злонамерен код са идентифицирани два зловредни бинарни файла, но от Arctic Wolf уточняват, че не са открили достатъчно доказателства за успешно изтегляне или изпълнение.

Изследователи от Sophos също са наблюдавали активност на заплаха, свързана с Potassium, но са успели да блокират атака. Анализът на образеца е показал обновена и „значително разширена“ версия на варианта на ботнета, посочват от Sophos.

Уязвимостите в PHP разтърсиха общността по информационна сигурност след официалното им оповестяване в сряда. Скриптовият език задвижва приблизително 70% от уебсайтовете по света.

Изследователи от Wiz заявиха, че тези пропуски са сред най-тежките, откривани някога в PHP. Те сравниха въздействието от успешна експлоатация с уязвимостта Heartbleed от 2014 г.

По-нататъшният анализ обаче показва, че реалните последствия са по-малки от първоначалните опасения.

„PHP2Shell предизвика незабавна тревога поради своята критичност, мащаба на потенциално засегнатите системи и откриването с помощта на изкуствен интелект“, коментира Джъстин Мур, директор на операциите срещу противници в Arctic Wolf, пред Cybersecurity Dive. „До момента обаче реалността е по-малко драматична от заглавията в медиите.“

Изследователи от VulnCheck отбелязаха, че повечето от публично разпространените експлойти не завършват успешно веригата, необходима за компрометиране на системата, тъй като са насочени към настройка в PHP, наречена „display errors“, която рядко се използва в реални производствени среди.

„Прегледахме опитите за експлоатация на PHP2shell и „най-добрите“ до момента са пренесени от публичните прототипи (PoC), докато останалите са безполезни или неработещи“, заяви пред Cybersecurity Dive Спенсър Макинтайър, директор по разработване на експлойти във VulnCheck.