Secondo quanto riportato da Sergiu Gatlan su Bleeping Computer, Amazon Threat Intelligence ha reso noto che tentativi di sfruttamento delle vulnerabilità PHP2Shell tracciate come CVE-2026-109618 e CVE-2026-109619, che permettono l'esecuzione di codice remoto (RCE) su sistemi vulnerabili, sono iniziati già il 17 ottobre 2026, tre giorni prima del rilascio delle patch. PHP e il PHP security team hanno accelerato la data di rilascio a causa della scoperta dello sfruttamento, e hanno avvisato gli amministratori il 20 ottobre di prepararsi ad installare gli aggiornamenti il giorno successivo.
Secondo Amazon Threat Intelligence, i tentativi di sfruttamento sono avvenuti da indirizzi IP associati a una rete di anonimizzazione commerciale. CJ Moses, CISO di AWS, ha dichiarato che l'attività è stata condotta da un attore di minaccia, anche se non è chiaro come l'attore abbia acquisito informazioni sugli exploit prima della divulgazione. Moses ha sottolineato che le vulnerabilità PHP2Shell sono ora ampiamente sfruttate nel mondo e che i difensori non dovrebbero presumere che la data di divulgazione pubblica sia la data più precoce di sfruttamento.
PHP è un linguaggio di sviluppo web open-source utilizzato da circa l'80% dei siti web su Internet. VirusTotal monitora oltre 5,1 milioni di host PHP esposti online, con circa 3,8 milioni con almeno una porta aperta agli attacchi. Gina Peter Banyard, sviluppatore principale di PHP, ha dichiarato che applicare le patch di sicurezza ufficiali è l'unica difesa permanente, e che la comunità PHP sta lavorando per migliorare la sicurezza del linguaggio.
L'UK National Cyber Security Centre (NCSC) ha esortato tutte le organizzazioni del Regno Unito a controllare e aggiornare immediatamente i server PHP o a metterli offline fino a quando non possono essere patchati. Il Blue Report 2026 evidenzia che solo il 37% delle azioni degli attaccanti viene bloccato una volta che hanno ottenuto credenziali valide, e che la misurazione delle tecniche di difesa è una pratica consolidata, con 338 milioni di simulazioni eseguite in ambienti di produzione dei clienti.