Hoewel Techzine eerder vandaag meldde dat cybercriminelen er volgens de PHP Foundation nog niet in slaagden PHP2Shell-kwetsbaarheden te misbruiken, is het aanvallers inmiddels gelukt de softwarefouten te ‘benutten‘.
Dit meldt BleepingComputer. De twee beveiligingslekken, CVE-2026-109618 en CVE-2026-109619, werden vorige week gedicht met noodpatches. Al voordat die beschikbaar kwamen, probeerden aanvallers echter de kwetsbaarheden uit te buiten. Er was echter tot eerder vandaag nog geen overtuigend bewijs dat hen dit lukte.
Dat bewijs is nu geleverd door Perplexity. Uit hun analyse blijkt dat aanvallers erin slaagden code uit te voeren op een Apache-server met PHP 8.4.26. De aanvallers wisten bovendien gegevens uit het geheugen van de server te halen.
Het ging daarbij onder meer om een bestand van ongeveer 800 kilobyte aan cookiegegevens. Met behulp van die informatie konden ze een adres achterhalen dat vervolgens werd gebruikt om een shellcommando uit te voeren.
Aanvallen begonnen voor publicatie patches
De kwetsbaarheden houden beveiligingsonderzoekers al ruim een week bezig. Amazon Threat Intelligence ontdekte dat aanvallers zich vier dagen voor het verschijnen van de noodpatches al op PHP2Shell richtten. Ook Cloudflare en verschillende andere beveiligingsbedrijven registreerden verdachte activiteiten.
Het ging aanvankelijk vooral om het zoeken naar kwetsbare servers en het uitproberen van exploits die niet werkten. De eerste pogingen vonden plaats voordat de technische details van de beveiligingslekken officieel openbaar werden gemaakt.
Het beveiligingsteam van PHP had de bekendmaking zorgvuldig voorbereid, maar kon niet voorkomen dat informatie voortijdig uitlekte. Daarbij ging het onder meer om de CVE-nummers en technische maatregelen die al met bepaalde beheerders van kritieke infrastructuur waren gedeeld.
Nog een ernstig PHP-lek
Ondertussen hebben de ontwikkelaars van PHP gewaarschuwd voor een derde kwetsbaarheid. Voor dit beveiligingslek, CVE-2026-115560, is nog geen patch beschikbaar.
Het risico is volgens de ontwikkelaars beperkter dan bij PHP2Shell. Misbruik is alleen mogelijk bij systemen met een specifieke, ongebruikelijke combinatie van configuratie-instellingen en applicatiecode.
Beheerders kunnen aanvallen voorlopig voorkomen door de instelling session.upload_progress.enabled=0 toe te passen. Deze maatregel werd eerder ook al aanbevolen als tijdelijke bescherming tegen PHP2Shell.
De potentiële impact van beveiligingsproblemen in PHP is groot. De programmeertaal wordt gebruikt door ongeveer 70 procent van alle websites. Volgens een recente analyse van VirusTotal zijn wereldwijd ruim 5,1 miljoen PHP-hosts via internet bereikbaar. Bij circa 3,8 miljoen daarvan is minstens één poort toegankelijk die mogelijk voor aanvallen kan worden gebruikt.