Aanvallers proberen kwetsbare PHP-servers te rekruteren voor "Potassium", een van Mirai afgeleid botnet dat is gebouwd voor distributed denial-of-service (DDoS)-aanvallen — maar tot nu toe heeft de campagne moeite om voet aan de grond te krijgen. Mirai's broncode werd in 2016 openbaar gemaakt, en botnets die van deze stam afstammen hebben enkele van de grootste DDoS-campagnes ooit geregistreerd veroorzaakt. The Hacker News meldde op 23 oktober dat er geen servercompromitteringen waren bevestigd, zelfs niet terwijl exploitpogingen opliepen tot in de honderdduizenden.

De aangevallen kwetsbaarheden

De campagne draait om twee PHP-kwetsbaarheden, CVE-2026-109618 en CVE-2026-109619, die beide een ernstscore van 9,2 op 10 kregen — een niveau dat duidelijk in het kritieke bereik van de CVSS-schaal valt — en die beide ongeauthenticeerde remote code execution mogelijk maken, wat betekent dat een aanvaller geen inloggegevens nodig heeft om opdrachten uit te voeren op een kwetsbare server. PHP bracht op 21 oktober patches uit, maar tegen die tijd hadden hackers al aanvallen tegen de kwetsbaarheden gestart.

Miljoenen peilingen, nul bevestigde inbraken

De cijfers geven wel aan hoe uitgebreid aanvallers aan het peilen zijn. Imperva registreerde 482.342 verzoekpogingen in 122.311 sessies gericht op 21.998 sites in 103 landen binnen een periode van 24 uur. Ondertussen meldde Censys meer dan 41 miljoen internetbereikbare PHP-diensten te hebben gedetecteerd die kwetsbare versies draaien, met slechts ongeveer 1 miljoen instanties die op 22 oktober gepatchte versies van de software draaiden — waardoor de overgrote meerderheid van de blootgestelde servers een volledige dag na de patchuitgave nog steeds zonder fix zat. Aantallen van scanactiviteit of blootstelling zijn onvoldoende om een daadwerkelijke compromittering te bewijzen.

Wat Sophos zag, en vervolgens introk

Arctic Wolf]() meldt dat pogingen tot commando-uitvoering en malware-downloads aan Potassium zijn toegeschreven. Een afzonderlijke sandboxbeoordeling bracht een ander monster aan het licht dat contact zocht met thunder.godofthunder[.]st via IP 134.199.154[.]64 op TCP-poort 50792 en twee Oekraïense hosts aanviel. Dat toonde het potentieel van de malware, maar niet dat aanvallers productservers hebben binnendrongen. Op 22 oktober trok Sophos een eerdere succesaankondiging in en meldde aan The Record dat het alleen onsuccesvolle aanvalspogingen had waargenomen.

24 flood-commando's en een sluimerende ENS-schakelaar

Arctic Wolf heeft onthuld dat Potassium 24 flood-commando's bevat die alle typen ICMP, TCP, UDP en OpenVPN omvatten. Zowel de ARM- als de x86-64-versie van de malware bevatten ook Ethereum Name Service (ENS)-opzoekfunctionaliteit — een gedecentraliseerd namensysteem dat op de Ethereum-blockchain draait in plaats van in de traditionele DNS-hiërarchie — maar deze functie staat in beide gevallen uit. Ethereum en ENS zijn niet gecompromitteerd. Indien geactiveerd, zou ENS-opzoek het echter moeilijker kunnen maken om de commandoservers van het botnet te blokkeren met conventionele DNS- en IP-controles.

Waardeloze PoC's versus een werkende private exploit

Veel openbare proof-of-concept (PoC)-exploits falen tegen productieverdedigingen, met name address space layout randomization (ASLR), een verhardingstechniek die willekeurig bepaalt waar de code en gegevens van een programma in het geheugen staan, zodat exploits geen betrouwbare vaste adressen kunnen targeten. VulnCheck's Spencer McIntyre omschreef veel van de circulerende monsters als "garbage and nonfunctional", aldus The Record.

Die bescherming is echter niet waterdicht. VulnCheck ontwikkelde een private exploit die ASLR omzeilt op productiegeconfigureerde PHP 8.4.26, en breidde de ondersteuning later uit naar geselecteerde 8.4- en 8.5-builds. Google's John Hultquist noemde de dreiging "viable and very serious", aldus The Record.

Waarom een DDoS-botnet hosting- en cryptobedrijven zorgen baart

De bredere dreiging is al aanzienlijk. Cloudflare registreerde 935 DDoS-aanvallen van meer dan 1 terabit per seconde tijdens de eerste helft van 2026, volgens het dreigingsrapport. Die aanvallen werden niet aan Potassium toegeschreven, maar ze illustreren de verstoring waarmee hostingproviders, betaalverwerkers en cryptoplatforms worden geconfronteerd. Aan PHP2Shell zijn geen financiële verliezen gekoppeld.

PHP's nieuwe advies en waar je op moet letten

Op 23 oktober maakte PHP een nieuw probleem bekend, CVE-2026-115560, dat een ongebruikelijke applicatieconfiguratie betreft. In afwachting van een reguliere fix adviseert het om session.upload_progress.enabled=0 in te stellen, een configuratiedirective die de upload-progressfunctie van PHP uitschakelt en die ook dient als mitigatie voor CVE-2026-109619.

Beheerders dienen PHP 8.5.12, 8.4.27, 8.3.36 of 8.2.35 te installeren, workers te herstarten zodat draaiende processen daadwerkelijk de gepatchte code oppakken, en te letten op verdachte downloads. Cobalt CISO Andrew Obadiaru waarschuwde dat de huidige rustige periode neerkomt op "borrowed time", aldus The Record.