PHP2Shell: kritikus sérülékenységek veszélyeztetik a web jelentős részét

Két CVE alatt több hibát azonosítottak

A Wiz kutatói szerint a PHP, amely a világ webhelyeinek 70 százalékát működteti, több, egymással összefüggő memóriabiztonsági hibát tartalmazott. A sérülékenységeket két azonosító alá sorolták: a CVE-2026-109618 és a CVE-2026-109619 jelű hibák súlyossága eléri a CVSS 9.2 értéket.

A problémák a PHP végzetes hibáinak kezeléséhez kapcsolódnak, különösen a memóriahiányos állapotok feldolgozásához. Ilyenkor a PHP belső állapota sérülhet, és egy későbbi kérés vagy munkafolyamat újra felhasználhatja a hibás állapotot. Ennek következménye memóriaolvasás vagy memóriasérülés lehet.

A Wiz szerint a támadók így jelszavakhoz, hitelesítési tokenekhez, API-kulcsokhoz és tanúsítványokhoz férhetnek hozzá. Bizonyos esetekben hitelesítés nélkül távoli kódot is futtathatnak az érintett szerveren.

WordPressen, Drupalon és Joomla-n is bemutatták a támadást

A kutatók a sérülékenységeket a php2shell nevű, egyetlen kihasználási szkriptbe állították össze. A Wiz közlése szerint hitelesítés nélküli távoli kódfuttatást mutattak be a WordPress, a Drupal és a Joomla akkor legfrissebb konténerképein.

A felsorolt rendszerek a demonstráció célpontjai voltak, a hibák azonban magában a PHP-ben találhatók. A kihasználás ezért nem függ az adott alkalmazás kódjának hibájától. A Wiz szerint akár egy egyszerű, „Hello World” alkalmazást futtató, érintett PHP-verzió is sebezhető lehet.

A CVE-2026-109618 egy, a feltöltési folyamat szerializálójához kapcsolódó use-after-free hibát jelöl. Ez távoli folyamatmemória-kiszivárgást, memóriamódosítást és kódfuttatást tehet lehetővé. A CVE-2026-109619 a végzetes hibák visszakövetési adatait érintő use-after-free hibát, valamint az OPcache típuskezelésének zavarát foglalja magában.

A Wiz hangsúlyozza, hogy a PHP-kódbázisban további, nyomon követett és valószínűleg még fel nem fedezett változatok is létezhetnek. A PHP csapata által kiadott javítás a közlés szerint a probléma gyökerét kezeli, és a javított kiadásban megszünteti ezeket a változatokat.

Az AI csökkentette a kihasználás akadályait

A Wiz szerint az érintett kód több mint egy évtizede jelen volt a PHP-ban, a működő támadások elkészítéséhez azonban több hiba összekapcsolására és a különböző memóriakezelési helyzetekhez való alkalmazkodásra volt szükség. A kézi elemzés, tesztelés és hibakeresés minden célkörnyezetben jelentős munkát igényelt.

A kutatók beszámolója szerint a frontier AI-modellek ezt a folyamatot órák alatt gyakorlatiasabbá tették. A modellek segíthetnek az exploitok módosításában eltérő PHP-verziók, konfigurációk és memóriakiosztások esetén, majd tesztelési és hibakeresési eszközökkel elemezhetik a sikertelen próbálkozásokat.

A kutatásban a Wiz Atlas, a Gemini 4 Argon és a GPT-5.6 Sol modelljeit használták. A Wiz szerint a Gemini 4 Argon a sérülékenység megtalálásában, a kihasználás fejlesztésében, a támadás felismerésében és a javítás ellenőrzésében is hozzájárult a munkához. A vállalat úgy látja, hogy az AI az eddig túl összetettnek tartott sérülékenységek kihasználását is megvalósíthatóbbá teheti.

A PHP javítást adott ki, az azonnali frissítés javasolt

A PHP 2026. október 21-én kiadta a több, memóriabiztonsággal kapcsolatos hibát javító frissítést. A Wiz azt javasolja, hogy az érintett rendszerek üzemeltetői a lehető leghamarabb telepítsék a javítást.

A vállalat közlése szerint több iparági szereplő, köztük az Automattic, az Akamai, az AWS, a Cloudflare, a Fastly, a Google, az Imperva, a Microsoft és a Vercel útmutatókkal és azonnal alkalmazható védelmi megoldásokkal segítette a javítást még nem telepítő ügyfeleket.

A Wiz ügyfelei a vállalat PHP2Shell-riasztásában találhatnak részleteket a sérülékenység észleléséről, a kihasználási kísérletek felismeréséről, a válaszlépésekről és a fenyegetések felkutatásáról. A Sensor ügyfelei olyan beépített szabályt is engedélyezhetnek, amely automatikusan leállítja a PHP2Shell kihasználására jellemző viselkedést mutató folyamatokat.