Bezbednosni propust nazvan PHP2Shell izazvao je zabrinutost zbog široke upotrebe PHP-a na veb-stranicama i u veb-aplikacijama. Ipak, reč je o ozbiljnom problemu koji treba da reše vlasnici sajtova i hosting provajderi, a ne o pretnji koja će prekinuti funkcionisanje interneta.
PHP2Shell obuhvata dve memorijske ranjivosti, označene kao CVE-2026-109618 i CVE-2026-109619. Ocenjene su ozbiljnošću od 9,2 od 10 i, ukoliko budu iskorišćene, mogu napadaču da omoguće daljinsko izvršavanje koda na ranjivom serveru.
U praksi, to bi moglo da znači postavljanje zlonamernih alata na server, preuzimanje kontrole nad veb-stranicom, menjanje njenog sadržaja, krađu podataka ili preusmeravanje posetilaca na stranice namenjene prevari i distribuciji štetnog softvera.
Rizik je širi jer se PHP koristi na velikom delu veba, uključujući sisteme kao što su WordPress, Drupal i Joomla. Prema dostupnim informacijama, pokušaji iskorišćavanja propusta zabeleženi su još pre njihovog zvaničnog objavljivanja, a pretnja se sada zloupotrebljava šire.
PHP tim je objavio hitne bezbednosne nadogradnje za grane PHP 8.5, 8.4, 8.3 i 8.2. Ispravke su dostupne u verzijama 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Ipak, samo objavljivanje nadogradnji nije dovoljno: administratori stranica moraju da ih instaliraju ili da potvrde da je njihov hosting provajder to uradio.
Za obične posetioce ne postoji zakrpa koju treba da instaliraju u pregledač. Moguće je da neke stranice privremeno budu nedostupne dok se obavlja održavanje, što je očekivana mera zaštite.
Tokom pretraživanja, korisno je izbegavati slabo održavane i sumnjive sajtove. Posebna pažnja potrebna je ako stranica iznenada preusmeri na drugu adresu ili pokrene neočekivano preuzimanje datoteke. U tom slučaju, stranicu i pregledač treba zatvoriti, a uređaj proveriti bezbednosnim softverom.
Najveći problem ostaju sajtovi sa PHP 8.1 ili starijim verzijama, jer više ne dobijaju zvanična bezbednosna ažuriranja.