Американската Агенция за киберсигурност и сигурност на инфраструктурата (CISA) в понеделник потвърди активната експлоатация на наскоро коригираните уязвимости PHP2Shell, като ги добави към своя каталог с известни експлоатирани уязвимости (KEV).

Уязвимостите в PHP, оценени с 9.2 по системата за оценяване CVSS, позволяват неавтентифицирано отдалечено изпълнение на код в засегнатите системи -

  • CVE-2026-109618 - Уязвимост, свързана с повреда на паметта при недостиг на памет (out-of-memory corruption), която позволява неавтентифицирано отдалечено изпълнение на код.
  • CVE-2026-109619 - Уязвимост от тип невалидно вътрешно състояние на заявката (stale internal request-state), която позволява неавтентифицирано отдалечено изпълнение на код.

Добавянето на двата дефекта в каталога KEV идва след като Адел Карими, ръководител на звеното за откриване и реагиране в Perplexity, потвърди успешни случаи на отдалечено изпълнение на код срещу системи-примамки (honeypots) на 24 октомври 2026 г.

„Това вече е потвърдено отдалечено изпълнение на код (RCE) с използваемо разкриване на памет, а не просто срив, последван от подозрителен процес“, заяви Карими. „Отговорът върна декодиран дъмп на бисквитки от 800 KiB, а адрес на функция, извлечен от този дъмп с помощта на отместванията от публичния експлойт, се появява в последващия инжектиран код за изпълнение.“

„Доказателствата демонстрират тази верига върху умишлено благоприятния профил с единичен работен процес mod_php; това не е измерител за надеждността на експлойта при друг брой работни процеси, компилации на PHP или приложения.“

Проблемите са отстранени във версии на PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, пуснати на 21 октомври 2026 г. Федералните агенции имат срок до 29 октомври 2026 г. да инсталират необходимите корекции за сигурност.

PHP, съкращение от PHP: Hypertext Preprocessor, е скриптов език от страната на сървъра, използван в приблизително 70% от всички уебсайтове в интернет. Според оценки, споделени от Censys, над 32,51 милиона PHP услуги все още работят със засегната версия.

Сериозността на уязвимостите предизвика множество предупреждения от доставчици на софтуер и решения за сигурност, както и правителствени агенции по целия свят, включително -

  • ABB
  • Arista Networks
  • Belden
  • Broadcom
  • Canon
  • Citrix
  • Dell
  • Dormakaba
  • Hikvision
  • HPE
  • Hitachi Energy
  • HMS Networks
  • Huawei
  • IBM
  • Ivanti
  • Johnson Controls
  • Mitel
  • Moxa
  • NETGEAR
  • Okta
  • QNAP
  • Rockwell Automation
  • Ruckus Wireless
  • Salesforce
  • Schneider Electric
  • Siemens (1), (2)
  • SonicWall
  • Splunk
  • Synology
  • Veeam
  • Wibu-Systems
  • WordPress

Към 26 октомври 2026 г. PHP Foundation пусна и компилации за Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1 за отстраняване на CVE-2026-111497 — уязвимост от тип запис извън границите (out-of-bounds write) в библиотеката за декодиране на Brotli, която също може да доведе до ескалация на привилегии и неавтентифицирано отдалечено изпълнение на код.

Уязвимостта, известна още като Broccoli2Shell, HTTP2Shell и Node2Shell, засяга версии на Brotli от 1.0.3 до 1.0.9, 1.1.0 и 1.2.0. Тя е коригирана във версии 1.0.10, 1.1.1 и 1.2.1, както и в други проекти, които включват C библиотеката, включително Node.js, Bun, Envoy Proxy, Istio, .NET и Python.

„В компилациите на PHP за Windows уязвимият декодер може да бъде достигнат чрез разширението cURL, когато е активирана автоматичната декомпресия на HTTP отговори“, посочват от PHP Foundation. „Това е деактивирано по подразбиране в cURL, но приложенията и клиентските HTTP библиотеки могат да го активират.“