Më 21 tetor 2026 u publikuan rregullime për dy dobësi kritike në PHP, të identifikuara si CVE-2026-109618 dhe CVE-2026-109619 dhe të quajtura PHP2Shell. Të dyja vlerësohen 9.2 në shkallën CVSS v4.0, dhe secila mund t'i lejojë një sulmuesi pa autentikim të ekzekutojë kod në një server që përpunon kërkesa PHP. CISA publikoi të njëjtën ditë një alarm që kërkonte nga organizatat të përditësojnë menjëherë.
Shfrytëzimi u raportua pothuajse menjëherë. watchTowr thotë se rrjeti i tij i honeypot-eve ka regjistruar sulme që nga 21 tetori, telemetria e Amazon sipas raportimeve tregon një provë më të hershme më 17 tetor - katër ditë para zbulimit - dhe Cloudflare raporton trafik sulmi ndaj klientëve të vet. Raportimet nuk pajtohen nëse dobësitë janë të listuara në katalogun e CISA-s të Dobësive të Shfrytëzuara të Njohura (KEV), ndaj kontrollo katalogun e drejtpërdrejtë në vend që të mbështetesh te një artikull i vetëm. Në praktikë përgjigjja nuk e ndryshon asgjë: trajtoji si të shfrytëzuara.
Versionet e rregulluara janë PHP 8.5.12, 8.4.27, 8.3.36 dhe 8.2.35. Një projekt skanimi raportoi se rreth 59% e serverëve që kontrolloi ishin ende me një version para rregullimit, që është hendeku mbi të cilin mbështeten sulmuesit. Mos harro se PHP nuk punon vetëm në serverët e tu: hostimi i përbashkët, WordPress dhe CMS të tjera, aplikacione të vjetra intraneti dhe mjedise të vjetra testimi e përdorin gjithashtu, shpesh me versione që askush nuk i ka parë prej vitesh.
Disa burime sugjerojnë gjithashtu çaktivizimin e veçorisë së PHP për ecurinë e ngarkimit në sesion si masë të përkohshme. Kjo mbyll vetëm një rrugë shfrytëzimi, ndaj përdore si zgjidhje e përkohshme gjatë përditësimit dhe jo si zëvendësim të përditësimit. Po ashtu, një firewall për aplikacionet web (WAF) mund ta ulë ekspozimin, por nuk është rregullim për një dobësi te vetë ambienti i ekzekutimit të gjuhës.
Çfarë të bësh sot: listo çdo sistem që përdor PHP, përfshirë ata që i ke harruar; kontrollo versionin në secilin; përditëso në një version të rregulluar ose kërkoji ofruesit të hostimit të konfirmojë që e ka bërë; dhe rishiko regjistrat e serverit web dhe të PHP për kërkesa të pazakonta dhe skedarë të rinj të papritur që nga 17 tetori. Nëse një server ishte i ekspozuar dhe nuk mund ta përjashtosh komprometimin, trajtoje si incident dhe rotoji kredencialet e ruajtura në të.