Már a javítás előtt megpróbálták kihasználni a súlyos PHP-sebezhetőségeket
Az Amazon Threat Intelligence szerint már a javítás megjelenése előtt megpróbálták kihasználni a PHP két kritikus biztonsági hibáját. A cég biztonsági csapata október 17-én egy, támadók megfigyelésére szolgáló honeypoton PHP2Shell-támadási kísérletet észlelt egy anonimizált IP-címről. Ez arra utalhat, hogy a támadó még a hivatalos hibaközlés előtt hozzáférhetett az exploit információihoz, bár ennek forrása továbbra sem ismert. Október 21-én, a javítás kiadása előtti órákban Amazon több további próbálkozást is azonosított.
A CVE-2026-109618 és CVE-2026-109619 az interneten széles körben használt PHP-t, így például számos WordPress-oldalt érintett, és távoli kódfuttatást tehetett lehetővé. Elizabeth Barron, a PHP Foundation ügyvezető igazgatója szerint a szervezet tudomása alapján addig nem történt sikeres távoli kódfuttatás, de az érintett rendszerek frissítését elengedhetetlennek nevezte.
A hibát a PHP Foundation biztonsági csapata már 2024-ben azonosította, a javítást azonban kompatibilitási problémák, új szolgáltatásmegtagadási kockázatok és számos külső bővítmény érintettsége nehezítette. A hivatalos kiadás előtt fórumokon és közösségi oldalakon is kiszivárogtak részletek. A Foundation jelezte, hogy a jövőben a hasonló, összetett hibák gyorsabb lezárására módosítja belső folyamatait.