Исследователь Адель Карими опубликовал разбор атак 24 октября, в которых PHP2Shell действительно привела к запуску команд на сервере. На трёх серверах-ловушках он сопоставил 35 входящих запросов с 35 запусками командной оболочки от процесса Apache. Ловушки имитировали обычные PHP-сайты; это число зафиксированных исполнений, а не пострадавших организаций.

Доказательством стали совместные записи сетевого трафика, журналов PHP и событий запуска процессов. Одной ошибки сервера или подозрительного запроса для такого вывода недостаточно. В наблюдаемой цепочке атакующий сначала получал сведения из памяти, затем подстраивал запрос под конкретную цель и добивался выполнения команды. Исследователь опубликовал материалы по каждому из 35 случаев.

У наблюдения есть существенные границы: ловушки работали на PHP 8.4.26 под Apache с модулем mod_php и одним рабочим процессом — в конфигурации, намеренно благоприятной для атаки. Результат не измеряет надёжность взлома других установок. Запросы с успешным выполнением поступили с двух IP-адресов, но это не устанавливает число операторов. Загрузку следующего вредоносного файла в разобранных данных не наблюдали.

Ранее мы сообщали об отзыве Unit 42: компания не смогла подтвердить, что именно PHP2Shell обеспечила первоначальный вход в европейскую госструктуру. Отчёт Карими описывает другой эпизод и не восстанавливает эту связь. Он показывает успешную эксплуатацию на ловушках, сохраняя открытым вопрос о масштабе взломов обычных сайтов. Исправления PHP вышли 21 октября.