Критические уязвимости PHP2Shell, CVE-2026-109618 и CVE-2026-109619, теперь эксплуатируются в реальных условиях. Это подтверждает ранние подозрения после выпуска исправлений. Адель Карими из Perplexity обнаружил вредоносную активность на своих ловушках. Его находки демонстрируют подтвержденное удаленное выполнение кода против установки Apache mod_php. Эксплуатация привела к значительному дампу декодированного cookie объемом 800 КБ. Адрес функции, полученный из этого дампа, был использован в последующей полезной нагрузке для выполнения. Эта конкретная цепочка была замечена на профиле mod_php с одним рабочим процессом. Карими подчеркнул, что это не гарантирует надежность для всех конфигураций. Маркус Хатчинс, исследователь угроз, подтвердил выводы Карими. Он назвал это наиболее убедительным подтверждением эксплуатации PHP2Shell в реальных условиях на сегодняшний день.