Попытки эксплуатации PHP2Shell зафиксированы 17 октября 2026 года, за четыре дня до публичного раскрытия двух уязвимостей PHP под номерами CVE-2026-109618 и CVE-2026-109619.
Две уязвимости удалённого выполнения кода в PHP имеют оценку 9.2 по CVSS 4.0 и не требуют аутентификации. Вектор атаки - сетевой, сложность высокая, присутствуют дополнительные требования к условиям эксплуатации.
Cloudflare фиксирует ранние попытки эксплуатации двух уязвимостей PHP и уже включила аварийные правила межсетевого экрана уровня веб-приложений (WAF, web application firewall).
Первые сообщения об эксплуатации двух уязвимостей в интерпретаторе PHP поступили 21 октября 2026 года, до выхода исправлений. Хостинг-партнёры Patchstack зафиксировали инциденты в 07:34 UTC, Cloudflare
Две уязвимости удалённого выполнения кода в PHP дают возможность запустить собственный код на сервере с интерпретатором этого языка. Удалённое выполнение кода означает, что атакующий выполняет свои команды, не имея доступа к консоли.
