Adel Karimi, jefe de detección y respuesta de Perplexity, informó que sus redes de engaño (honeypots) capturaron evidencia de una ejecución remota de código (RCE) válida en un sistema que ejecuta PHP 8.4.26 mediante Apache mod_php.
Karimi indicó que el ataque se construyó a partir de un depósito de cookie de 800 KiB y utilizó desplazamientos generales de exploit, generando una dirección de función. Añadió que la ejecución de la orden de shell se inició aproximadamente 1,6 milisegundo después de que se detectó el último byte de la solicitud.
El investigador de amenazas de Expel, Marcus Hutchins, confirmó estos hallazgos y afirmó que este es el ejemplo más alto de evidencia de explotación natural de PHP2Shell que ha observado hasta la fecha.