Amazon: eerste PHP2Shell-aanvallen op 17 oktober waargenomen

In dit artikel:

Amazon meldt dat aanvallers al op 17 oktober PHP2Shell misbruikten, vier dagen voordat de PHP Foundation de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 openbaar maakte. De aanval was gericht op een honeypot en kwam volgens Amazon vanaf een IP-adres van een commercieel anonimiseringsnetwerk. Omdat de kwetsbaarheden nog onder embargo waren, is onduidelijk hoe de aanvaller de exploitinformatie bemachtigde.

Door de lekken kunnen ongeauthenticeerde aanvallers code uitvoeren op kwetsbare PHP-systemen. Nadat dinsdag informatie over de kwetsbaarheden op Hacker News verscheen, vervroegde de PHP Foundation de publicatie van de patches van donderdag 22 naar woensdag 21 oktober. Amazon zag kort voor die release opnieuw veel aanvalspogingen en stelt dat inmiddels grootschalig misbruik plaatsvindt. Het bedrijf adviseert organisaties hun PHP-systemen te controleren op aanvallen vanaf 17 oktober.