PHP2Shell
  | |||
| |||
| Tipus | vulnerabilitat nomenada | ||
|---|---|---|---|
| Descobridor o inventor | Wiz, OpenAI i Calif | ||
| Data de descobriment o invenció | 1r agost 2026 | ||
| Efectes | execució arbitrària de codi | ||
| Cronologia | |||
| 21 octubre 2026 | Patching | ||
| Lloc web | php2shell.com | ||
CVE-2026-109618 i CVE-2026-109619 són dues vulnerabilitats en PHP que permeten l'execució remota de codi i es coneixen conjuntament com a PHP2Shell. L'existència de la vulnerabilitat es va anunciar públicament el 20 d'octubre.[1] L'endemà es va publicar un pegat d'emergència i detalls sobre la vulnerabilitat.[2]
Segons el descobridor Wiz, Inc, les versions des de PHP 5.4 fins a PHP 8 estan afectades.[3]
Els desenvolupadors de PHP van catalogar la vulnerabilitat amb un 9,2 sobre 10 (crítica) segons l'estàndard CVSS v4.0,[4] mentre que l'empresa de seguretat watchTowr li va assignar una puntuació de 10,0.[5]
És notable el fet que els mantenidors de PHP van anunciar l'actualització aviat i abans del llançament,[6] animant els usuaris a preparar-se i actualitzar tan bon punt es publiqués el pegat. Una empresa de seguretat, Sansec, esperava que "els atacs massius comencessin en un termini de 15 minuts després del llançament".[7] Les proves de concreció, els informes i les mitigacions parcials van començar a circular per Internet abans del final de l'embargament.[5] [8] Cloudflare ha informat de signes d'explotació primerenca abans del llançament del pegat públic i ha desplegat regles temporals de tallafocs d'aplicacions web (WAF) com a intent de mitigació provisional contra la vulnerabilitat.[9][10]
Ambdues vulnerabilitats es van publicar a través dels avisos de seguretat de GitHub[11][12] el 21 d'octubre a les 13:34 UTC, 26 minuts abans de l'hora de llançament anunciada, i el lloc web de PHP es va actualitzar poc després.
Referències
[modifica]- ↑ «PHP: News Archive - 20 Oct 2026» (en anglès). www.php.net, 20-10-2026. [Consulta: 21 octubre 2026].
- ↑ «PHP: News Archive - 21 Oct 2026» (en anglès). www.php.net, 21-10-2026. [Consulta: 21 octubre 2026].
- ↑ «PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet». [Consulta: 21 octubre 2026].
- ↑ «php.announce: [ANNOUNCE Upcoming Critical PHP Security Release]». news-web.php.net. [Consulta: 21 octubre 2026].
- 1 2 Abrams, Lawrence. «PHP warns admins of two critical flaws, emergency patches coming tomorrow» (en anglès americà). BleepingComputer. [Consulta: 21 octubre 2026].
- ↑ «Critical vulnerabilities in PHP | Stay tuned for php2shell mitigation and patches» (en anglès). www.aikido.dev. [Consulta: 21 octubre 2026].
- ↑ Goodin, Dan. «PHP warns it plans to release 2 emergency patches imminently» (en anglès). Ars Technica, 21-10-2026. Arxivat de l'original el 2026-10-21. [Consulta: 21 octubre 2026].
- ↑ «Only for the curious...». jackalsyn.com. [Consulta: 21 octubre 2026].
- ↑ Knecht, Dane. «Dane Knecht 🦭 (@dok2001) on X». X (formerly Twitter), 21-10-2026.
- ↑ «Hold on to your butts: Web admins braced for emergency PHP updates to plug leaked exploits» (en anglès). PC Gamer, 21-10-2026.
- ↑ «RCE via OOM corruption», 21-10-2026. [Consulta: 21 octubre 2026].
- ↑ «RCE via stale global state», 21-10-2026. [Consulta: 21 octubre 2026].
