Sulmet PHP2Shell kalojnë 74,000 bllokime, ndërsa korrigjimet mbeten urgjente
Sulmet PHP2Shell kanë gjeneruar më shumë se 74,000 përpjekje të bllokuara për exploit ose probing, megjithëse Wordfence thotë se nuk ka konfirmuar ndonjë komprometim si pasojë në më shumë se 5,000,000 website WordPress që mbron. Kompania e konsideron mungesën e rasteve të konfirmuara si tregues se shfrytëzimi është kompleks, jo si provë se serverët ku nuk janë aplikuar patch-et janë të sigurt.
Projekti PHP publikoi përditësime emergjente më 21 tetor 2026 për dy vulnerabilitete kritike, CVE-2026-109618 dhe CVE-2026-109619. PHP është softueri programues që ekzekuton WordPress në serverin e hosting-ut. Pronarët e website-ve duhet të instalojnë PHP 8.5.12, 8.4.27, 8.3.36 ose 8.2.35, ose të përdorin një paketë të furnizuesit për të cilën është konfirmuar shprehimisht se përmban të dyja korrigjimet. Më pas, çdo PHP worker, një proces serveri që përpunon kërkesat PHP, duhet të riniset. Përditësimi i WordPress nuk përditëson PHP.
Wordfence i kishte paralajmëruar pronarët e website-ve përpara se korrigjimet të bëheshin të disponueshme, më pas shqyrtoi hollësitë e vulnerabiliteteve dhe testoi versionet vulnerabël dhe ato me patch. Që atëherë, firewall i tij ka kapur përpjekje të lidhura me këto dy dobësi, si dhe sulme të ngjashme që synojnë të njëjtën sipërfaqe PHP multipart dhe session-upload-progress. Kërkesat multipart i ndajnë të dhënat e dërguara në disa seksione, zakonisht kur një browser ngarkon një skedar. PHP session upload progress është një veçori që regjistron statusin e një ngarkimi në të dhëna të përkohshme session. Wordfence thotë se po zgjeron monitorimin ndërsa kërcënimi zhvillohet.
Një cluster i madh sulmesh dërgon kërkesa POST që përmbajnë fusha të përsëritura me emrin t[n]. Wordfence i vlerësoi këto fusha si përpjekje për të krijuar memory pressure dhe për të ndikuar në mënyrën se si PHP alokon të dhënat e kërkesës. Vargjet e integruara përfshijnë funksionin e komandës system dhe shënuesin P2S_OK, duke treguar një fazë të synuar remote code execution (RCE), ku një sulmues e detyron serverin të ekzekutojë komanda. Kërkesa shembull përmbante 136 fusha të tilla, ndërsa 134 prej tyre nuk u përfshinë në mostrën e publikuar nga Wordfence. Komandat e saj tentuan të shfaqnin environment variables dhe të lexonin 200 byte-t e parë të .env, ../.env, ../../.env dhe wp-config.php, skedarë që mund të përmbajnë konfigurime të aplikacionit, kredenciale të databazës dhe sekrete të tjera. Kërkesa tregon qëllimin, por nuk provon se korruptimi i memories ose ekzekutimi i komandave pati sukses.
Wordfence analizoi gjithashtu 10,000 evente të mbledhura nga 20 deri më 22 tetor. Mostra u përzgjodh rreth kërkesave që referonin PHP_SESSION_UPLOAD_PROGRESS, ndaj nuk përfaqëson të gjithë trafikun keqdashës. Ajo përmbante 3,752 përpjekje të dukshme P2S out-of-memory ose state-corruption RCE, të synuara për të formësuar alokimet, ekzekutuar komanda dhe vjedhur të dhëna konfigurimi. 1,139 evente të tjera përdorën gadget chain me serialized object të Laravel, ndërsa 2,534 përdorën payload të tjera me serialized object që përfshinin Monolog, Symfony, Guzzle, WordPress, ThinkPHP dhe klasa të tjera të instaluara. Një serialized object paketon të dhënat e aplikacionit në një format që PHP mund ta rindërtojë; një gadget chain ndërthur funksione ekzistuese të aplikacionit për të shkaktuar një veprim të pasynuar, si ekzekutimi i komandave.
E njëjta mostër përfshinte 512 përpjekje të ngjashme NxSP për të helmuar një skedar të përkohshëm session dhe për ta kombinuar atë me një dobësi të veçantë local file inclusion, e cila i lejon një aplikacioni të ngarkojë një skedar lokal të pasynuar. 30 evente të tjera ishin out-of-band PHP upload canaries, payload testuese të projektuara për të aktivizuar një callback drejt një shërbimi të jashtëm nëse funksionon një teknikë tjetër ngarkimi ose ekzekutimi. Kategoritë mund të mbivendosen, sepse totalet për serialized object përshkruajnë karakteristikat e payload. Dataset përmban kërkesa, jo përgjigje të serverit ose records të endpoint-eve, prandaj mat përpjekjet për shfrytëzim dhe jo komprometimet e suksesshme.
Atribuimi mbetet i rëndësishëm. Wordfence thotë se trafiku P2S dhe serialized object përputhet me përpjekjet për të shfrytëzuar sjelljen e trajtuar nga korrigjimet e PHP. NxSP session poisoning dhe upload canaries përdorin të njëjtën zonë multipart ose upload-progress, por kërkojnë vulnerabilitete të veçanta ose sjellje të caktuar të aplikacionit. Prandaj, ato nuk mund të trajtohen si shfrytëzim i konfirmuar i CVE-2026-109618 ose CVE-2026-109619.
Komandat e vëzhguara tentojnë të konfirmojnë ekzekutimin me P2S_OK, NxSP të ndjekur nga numra ose SHL_OK; të profilizojnë serverët duke përdorur id, uname -a dhe hostname; si dhe të vjedhin sekrete nga environment variables, .env dhe wp-config.php. Payload të tjera kërkojnë në direktoritë e zakonshme të content management system dhe përpiqen të vendosin një PHP command shell persistent me emrin wp2s.php në dosje upload, plugin ose theme ku mund të shkruhet. Disa përpiqen të shkarkojnë dhe ekzekutojnë një payload të fazës së dytë përmes curl, wget dhe një interpretuesi komandash. Të tjera përdorin hostname unikë në oast.pro, oast.fun dhe oast.online për verifikim out-of-band, që do të thotë se konfirmimi mbërrin përmes një lidhjeje të veçantë rrjeti.
Treguesit që mbrojtësit mund të kërkojnë përfshijnë P2S_OK, NxSP[0-9]+, SHL_OK, ADV618BOUNDARY, ----P2SB, wp2s.php, php2shell.php dhe axiom_*.php. Emrat e objekteve të gjetura në payload përfshijnë Illuminate\Broadcasting\PendingBroadcast, Monolog\Handler\BufferHandler dhe Requests_Utility_FilteredIterator.
20 adresat burimore më aktive dhe numri i përpjekjeve të bllokuara ishin 87.121.84.174 (8,525), 181.215.186.252 (7,856), 185.196.220.132 (7,146), 185.161.210.29 (5,796), 152.233.51.69 (5,317), 45.134.225.16 (3,623), 107.189.14.87 (2,365), 193.47.62.24 (2,263), 2409:40d2:204e:4be:2a1f:f9c9:a055:e00b (1,953), 103.147.220.17 (1,860), 143.246.223.124 (1,791), 52.74.54.75 (1,260), 65.49.200.56 (836), 193.142.147.111 (775), 85.137.56.188 (672), 85.137.53.26 (664), 167.254.242.130 (648), 217.112.152.168 (619), 203.78.119.133 (616) dhe 140.245.32.169 (616).
Shfrytëzimi i suksesshëm vazhdon të varet nga konfigurimi i PHP, Server Application Programming Interface (SAPI), që lidh PHP me web server-in, extension-et e ngarkuara, klasat e disponueshme të aplikacionit dhe gjendja e secilit PHP worker. Në një mjedis laboratorik Apache me PHP 8.5.11 të konfiguruar posaçërisht, Wordfence konfirmoi ekzekutimin e kodit gjatë testimit të CVE-2026-109619. I njëjti proof of concept shkaktoi crash në një build PHP 8.5.11 të optimizuar normalisht, ndërsa PHP 8.5.12 mbeti funksional. Për CVE-2026-109618, kompania riprodhoi sjellje të ndryshme midis versioneve vulnerabël dhe atyre të korrigjuara, por nuk arriti në mënyrë të pavarur të realizonte ekzekutimin e kodit.
Konfirmimi i një komprometimi real do të kërkonte prova nga përgjigjet, skedarët, proceset aktive, crash-et e PHP worker, kërkimet në Domain Name System (DNS) ose lidhjet dalëse web në serverin e synuar. Një pjesë e këtij aktiviteti mund të ndodhë jashtë WordPress dhe logs të tij, gjë që kufizon atë që mund të vërtetojë monitorimi në nivelin e WordPress. Wordfence u kërkon të gjithë atyre që kanë artifacts përkatëse t'i dërgojnë në [email protected]; klientët e tij Care dhe Response mund të kontaktojnë ekipin e incident-response, ndërsa Wordfence Response reklamon disponueshmëri 24/7/365 me kohë përgjigjeje prej një ore.
Për pronarët e website-ve që preferojnë një mjedis të menaxhuar, AEU Hosting ofron hosting të menaxhuar WordPress, të siguruar nga fillimi deri në fund.