Zraniteľnosť PHP2Shell (CVE-2026-109618 a CVE-2026-109619) umožňuje neautentifikované vzdialené spustenie kódu na takmer každom PHP serveri dostupnom z internetu. Útočníkovi stačí jedna upravená multipart požiadavka na upload súboru. Detaily unikli 20. októbra 2026, ešte pred vydaním opravy, a útoky sa začali skôr, než PHP projekt 21. októbra vydal núdzové patche.
-
Služby
Služby
-
Produkty
Produkty
- Výrobcovia
- Vzdelávanie
- Články
- Spoznajte ALEF
0-day v PHP? F5 Distributed Cloud ho zastavil bez jedinej zmeny v konfigurácii
Marek Zacharda
Systems Engineer, F5
marek.zacharda@alef.com
Ochrana bola skôr ako oficiálne varovanie
F5 Distributed Cloud s AI-powered WAF blokoval exploity PHP2Shell ešte predtým, než existovala špecifická signatúra. Prostredia v blokovacom režime boli chránené automaticky, bez nového pravidla a bez zásahu do konfigurácie.
Útok zachytili dve vrstvy, ktoré sú súčasťou platformy:
- Existujúce signatúry pre PHP object serialization injection rozpoznali škodlivú požiadavku.
- AI-powered risk scoring ju ohodnotil ako kritické riziko (95 zo 100). Model trénovaný na reálnych útokoch z globálnych bezpečnostných operácií F5 rozpozná aj nový exploit, ktorý sa správa ako známe útoky.
Výsledkom je virtuálny patch: škodlivá prevádzka sa zastaví skôr, než sa dostane k PHP, a aktualizáciu je možné naplánovať štandardným procesom namiesto núdzového zásahu.
Ďalšia vrstva ochrany
F5 vydala aj dedikované signatúry pre obe CVE, vrátane signatúr pre F5 BIG-IP Advanced WAF: ID 200103697 a 200204115 pre CVE-2026-109618 a ID 200204113 pre CVE-2026-109619. Podrobnosti uvádza F5 Security Advisory K000163821.
Odporúčané kroky v AWAF
- Overte, že politiky WAF pre PHP aplikácie sú v blokovacom režime.
- Aktualizujte balík signatúr a PHP podľa bežného procesu.
- Postupujte v doladeni nastaveni WAF politiky podľa odporúčaného postupu mitigácie cez Bigip AWAF F5 Security Advisory K000163821
Zdroj: F5 blog: AI found it. AI is stopping it.