Ранее специалисты фиксировали попытки атак, но не могли подтвердить успешное выполнение вредоносного кода. Подтверждение получил Адель Карими, руководитель направления обнаружения угроз и реагирования на инциденты в Perplexity. Его серверы-ловушки зафиксировали успешную атаку на систему с Apache mod_php и PHP 8.4.26.
В ходе атаки злоумышленник получил около 800 КиБ данных из памяти процесса, а затем использовал извлечённый адрес функции для подготовки следующего этапа атаки.
После отправки последнего байта соответствующего запроса сервер выполнил команду оболочки примерно через 1,6 мс. Результаты также подтвердил исследователь Маркус Хатчинс, который отслеживал сообщения об успешной эксплуатации PHP2Shell.
Уязвимости CVE-2026-109618 и CVE-2026-109619, объединённые под названием PHP2Shell, были исправлены командой разработчиков PHP 21 октября. До выхода обновлений сведения об уязвимостях и некоторые демонстрационные эксплойты появились в открытом доступе, однако разработчики утверждали, что опубликованные варианты не работали.
Компании Cloudflare, Hadrian, watchTowr, Previdian и Patchstack также сообщали о попытках атак, которые на тот момент не приводили к успешной эксплуатации. Специалисты Amazon Threat Intelligence обнаружили первые попытки атак ещё 17 октября — за четыре дня до выпуска исправлений. PHP используется примерно на 70 % сайтов в интернете.
По оценкам VirusTotal, в открытом доступе находятся более 5,1 млн хостов с PHP, причём около 3,8 млн из них имеют как минимум один порт, доступный для потенциальных атак. На текущий момент успешная эксплуатация PHP2Shell представляет угрозу для значительного числа серверов, работающих на этой технологии.