Dve zraniteľnosti známe ako PHP2Shell umožňujú za určitých okolností spustiť na serveri kód bez prihlásenia. Evidované sú pod označeniami CVE-2026-109618 a CVE-2026-109619. Týkajú sa samotného PHP, ktoré spracúva požiadavky webových aplikácií, takže riziko nemožno posudzovať iba podľa toho, či je aktualizovaný napríklad redakčný systém stránky.
Amazon Threat Intelligence uviedol, že najstarší pokus zachytil 17. októbra vo svojej sieti MadPot. Požiadavka prišla z adresy spojenej s komerčnou anonymizačnou službou. Amazon nevie, ako sa jej odosielateľ dostal k informáciám o chybe ešte pred verejným oznámením, ani či by útok uspel na bežnom serveri.
Ďalšie pokusy Amazon zaznamenal 21. októbra, ešte pred plánovaným zverejnením opráv o 14.00 UTC. Po ich vydaní sa objavili ďalšie ukážkové postupy na zneužitie chýb a spoločnosť hlásila pokračujúcu útočnú aktivitu. Bezpečnostná spoločnosť watchTowr nezávisle uviedla, že pokusy o zneužitie pozorovala vo svojej sieti návnadových serverov tiež 21. októbra.
Správcovia PHP vydali opravené verzie 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Odporúčajú ich bezodkladne nasadiť na serveroch, ktoré obsluhujú webové požiadavky. Staršie vetvy PHP už od projektu nedostávajú bežné aktualizácie; prevádzkovatelia by si preto mali overiť, či ich distribúcia alebo dodávateľ podpory poskytuje opravený balík, prípadne prejsť na podporovanú verziu.
Rozsah praktického rizika závisí aj od konfigurácie servera. Výskumníci spoločnosti Sansec upozornili, že verejné ukážky útoku nefungujú proti predvolenej inštalácii PHP bez ďalších podmienok. Tento poznatok nemení odporúčanie aktualizovať: samotní správcovia PHP uvádzajú, že zmena nastavení môže obmedziť niektoré spôsoby útoku, úplnú ochranu však poskytuje až oprava.
Prevádzkovatelia dotknutých služieb by mali pri kontrole bezpečnostných záznamov zohľadniť aj obdobie pred 21. októbrom. Štvordňový náskok vyplýva zo záznamu konkrétneho pokusu o útok; počet napadnutých serverov ani úspešnosť skorších pokusov z neho nemožno určiť.