یک پژوهشگر در تعطیلات آخر هفته گزارش داد که مهاجمان از آسیب‌پذیری‌های PHP2Shell با موفقیت سوءاستفاده کرده‌اند و روی سرورهای Honeypot فرمان‌های shell اجرا کرده‌اند.
این نقص‌های بحرانی PHP2Shell با شناسه‌های CVE-2026-109618 و CVE-2026-109619 رصد می‌شوند و می‌توان از آن‌ها برای اجرای کد از راه دور بدون احراز هویت سوءاستفاده کرد. پروژه PHP آن‌ها را در 21 اکتبر پچ کرد، پس از آن‌که بخشی از اطلاعات به‌صورت عمومی آنلاین درز کرد.
تلاش‌ها برای بهره‌برداری پیش از انتشار پچ‌ها آغاز شد و از آن زمان میلیون‌ها تلاش ثبت شده است، اما شرکت‌های امنیتی هیچ اجرای موفق کدی را تأیید نکرده بودند. با این حال، پژوهشگران اکسپلویت‌هایی توسعه داده بودند که قادر به دور زدن محافظت‌های ASLR بودند.
پژوهشگر شرکت Perplexity، Adel Karimi، Honeypotهایی را راهبری می‌کند که صفحات عادی مبتنی بر PHP را ارائه می‌دهند؛ با PHP 8.4.26 زیر Apache mod_php و تنها یک worker. نخستین گزارش او که اندکی بیش از 26 ساعت فعالیت را پوشش می‌دهد، 30 خطای out-of-memory و 11 کرش worker را ثبت کرد، اما نشانه‌ای از اجرای کد مشاهده نشد.
این وضعیت در 24 اکتبر تغییر کرد؛ زمانی که حسگرهای Karimi ثبت کردند که 35 مورد shell در سه Honeypot اجرا شده است. یک نشانی IP در یک Honeypot سه shell ایجاد کرد و نشانی IP دیگری در مجموع هر سه Honeypot، 32 shell به‌راه انداخت.
مهاجمان یک زنجیره چهارمرحله‌ای از درخواست‌های HTTP به‌کار بردند. برخی درخواست‌ها حافظه PHP را تخلیه کردند، برخی دیگر محتوای حافظه را افشا کردند، و مرحله پایانی یک فرمان shell را اجرا کرد. به گفته Karimi، ترافیک با یک اکسپلویت PoC عمومی به‌خوبی هم‌خوانی داشت و این فعالیت با بهره‌برداری از CVE-2026-109618 سازگار است.
سازمان CISA در تاریخ 23 اکتبر هشدار PHP2Shell خود را با افزودن یک قاعده تشخیص Sigma به‌روزرسانی کرد و اعلام کرد که هیچ موردی از بهره‌برداری موفق را مشاهده نکرده است. تا صبح 26 اکتبر، این نهاد هنوز این آسیب‌پذیری‌ها را به فهرست KEV (Known Exploited Vulnerabilities) خود اضافه نکرده بود.
