Aktualizované: PHP2Shell expozícia klesla, pokusy o zneužitie pokračujú
Wiz zaznamenal výrazný pokles pozorovanej internetovej expozície zraniteľných PHP systémov. Jeho telemetria neukázala úspešné úplné zneužitie, verejné dôkazy však potvrdzujú úspech v špecifickej honeypotovej konfigurácii.
PHP2Shell expozícia podľa nových meraní spoločnosti Wiz výrazne klesá, no pokusy o zneužitie pokračujú. Wiz 27. októbra uviedol, že vo vlastnej telemetrii nevidel úspešné úplné zneužitie, zachytil však pokusy o exploitáciu. Tento záver platí pre telemetriu Wiz a nemožno ho vykladať ako dôkaz, že sa PHP2Shell nepodarilo zneužiť vôbec.
Wiz zároveň uvádza verejné dôkazy úspešného zneužitia na honeypotoch. Týkajú sa špecifickej konfigurácie Apache mod_php s jedným workerom a nepreukazujú spoľahlivú exploitáciu vo všetkých nasadeniach PHP.
PHP2Shell expozícia v pozorovanej populácii Wiz
Podľa merania Wiz klesol denný počet odlišných internetovo dostupných zraniteľných strojov približne o 67 %. Počet organizácií s aspoň jednou takouto inštanciou sa znížil približne o 47,9 %.
Ide o údaje z populácie, ktorú Wiz pozoruje, nie o úplné meranie internetu. Pokles preto nemožno automaticky pripísať iba nasadeniu opráv. Medzi možné vysvetlenia patria aj vypínanie systémov, obmedzenie internetového prístupu a zmeny v pokrytí merania.
AWS už skôr potvrdilo, že jeho sieť MadPot zachytila pokusy o exploitáciu od 17. októbra 2026, ešte pred zverejnením opráv. Po ich zverejnení nasledovali rozsiahle pokusy. AWS zároveň výslovne nevedelo potvrdiť, či by tieto pokusy uspeli v reálnych produkčných systémoch.
Úspešné zneužitie v zákazníckych OT prostrediach nebolo doložené
Nové zistenia nemenia stav v prípade Schneider Electric, Siemens a ABB. Verejne stále nie je doložené úspešné zneužitie PHP2Shell v zákazníckom OT prostredí týchto výrobcov. Verejne nie je známy ani rozsah prípadných kompromitácií produkčných systémov či súvislosť zachytených pokusov s konkrétnymi OT produktmi.
Čo majú prevádzkovatelia overiť
Neopravené a internetovo dostupné PHP systémy zostávajú prioritou. Prevádzkovatelia by mali overiť opravy dodávateľa, izolovať správcovské rozhrania a preveriť logy, a to aj za obdobie pred verejným zverejnením informácií o chybe.
Ďalší vývoj ukážu nové bulletiny OT dodávateľov, forenzne doložené incidenty v produkčných alebo OT prostrediach a nezávislé potvrdenia spoľahlivého zneužitia mimo špecifických honeypotových konfigurácií.
Zdroje
- Wiz Blog – Uvádza vlastnú telemetriu pokusov, pokles pozorovanej expozície o približne 67 % a limity interpretácie týchto údajov.
- AWS Security Blog – Potvrdzuje pokusy zachytené sieťou MadPot od 17. októbra 2026 a upozorňuje, že ich úspech v produkčných systémoch nebol potvrdený.
- PHP: News Archive 2026 – Dokumentuje oficiálne mitigácie PHP vrátane odporúčania vypnúť session.upload_progress.enabled pre CVE-2026-109619.
Overené a aktualizované: 27. 10. 2026 15:31
