Dobësitë kritike të njohura si PHP2Shell kanë kaluar nga teoria në praktikë. Pas disa ditësh me tentativa të dështuara, studiuesit e sigurisë kanë dokumentuar sulmin e parë të suksesshëm ndaj një serveri real, ndërsa paralelisht një haker arriti të thyejë një server të ngritur posaçërisht si sfidë publike. Për administratorët që ende nuk e kanë përditësuar PHP-në, koha për të pritur ka mbaruar.
Çfarë u zbulua
Sipas BleepingComputer, sulmi u kap nga Adel Karimi, përgjegjës i zbulimit dhe reagimit në Perplexity, përmes serverëve kurth (honeypot). Regjistrimet treguan ekzekutim kodi në distancë (RCE) në një instalim Apache me mod_php dhe PHP 8.4.26. Komanda e sulmuesit u ekzekutua rreth 1,6 milisekonda pas kërkesës së fundit.
Gjetjet u konfirmuan edhe nga Marcus Hutchins, studiues në Expel, i cili po ndiqte raportimet për sulme të tilla. Ai e cilësoi këtë si «konfirmimin me cilësinë më të lartë» që kishte parë deri tani për shfrytëzimin e PHP2Shell në terren.
Deri para kësaj, kompani si Cloudflare, Amazon, watchTowr dhe Patchstack kishin parë vetëm skanime dhe përpjekje me kode që nuk funksiononin.
Sfida me Bitcoin që u fitua brenda një dite
Tom’s Hardware raporton për një eksperiment tjetër: një zhvillues me pseudonimin «cloudlandsdev» ngriti një server të papërditësuar me një portofol Bitcoin dhe ftoi këdo ta thyente. Shpërblimi nisi me rreth 500 dollarë dhe me dhurimet arriti në mbi 2.000 dollarë.
- Sfida zgjati rreth 19 orë.
- Fitorja u regjistrua më 25 tetor, në orën 16:47 sipas orës së Shqipërisë.
- Sulmuesi ndërtoi një strukturë të falsifikuar të dhënash PHP që ekzekutoi komandën gjatë pastrimit të memories.
Krijuesi i sfidës konfirmoi se serveri u komprometua, edhe pse çelësi privat i gjetur nuk përputhej me adresën e reklamuar. Fondet më pas u transferuan drejt një adrese që sipas të dhënave në blockchain lidhet me platformën Kraken.
Çfarë duhet të bëjnë administratorët
Dobësitë CVE-2026-109618 dhe CVE-2026-109619 u rregulluan nga ekipi i PHP më 21 tetor. Përveç tyre, të premten u njoftua një dobësi e tretë, CVE-2026-115560, që ende nuk ka përditësim dhe prek vetëm konfigurime të pazakonta. Masat kryesore:
- Përditësoni menjëherë PHP-në në versionin më të ri të degës që përdorni.
- Vendosni
session.upload_progress.enabled=0në konfigurim derisa të dalë rregullimi për dobësinë e tretë. - Kontrolloni regjistrat e serverit për aktivitet të dyshimtë që nga mesi i tetorit.
Pse ka rëndësi për ju
PHP përdoret nga rreth 70% e faqeve në internet, përfshirë shumicën e faqeve me WordPress, dyqaneve online dhe portaleve të bizneseve shqiptare. Shumë prej tyre ndodhen në hosting të përbashkët ose në serverë që nuk përditësohen rregullisht. Nëse keni një faqe web, pyesni sot ofruesin e hosting-ut ose administratorin tuaj nëse PHP është përditësuar. Tani që ekziston prova se sulmi funksionon, pritet që numri i tentativave të automatizuara të rritet shpejt.
