Безопасность · 29 октября 2026 г.
Уязвимости PHP2Shell были успешно использованы в реальных атаках
Две критические уязвимости удаленного выполнения кода, которые получили идентификаторы CVE-2026-109618 и CVE-2026-109619 и collectively отслеживаются как PHP2Shell, были успешно использованы в реальных атаках.
Вредоносная активность была зафиксирована руководителем отдела обнаружения и реагирования в Perplexity, Adel Karimi. Его системы приманки зафиксировали подтвержденное удаленное выполнение кода в установке Apache mod_php, где использовалась версия PHP 8.4.26. Согласно данным Karimi, это подтвержденное удаленное выполнение кода с возможностью раскрытия памяти, а не просто сбой с последующим подозрительным процессом. Ответ содержал декодированный дамп файлов cookie объемом 800 КиБ, а адрес функции, полученный из этого дампа, появился в последующей полезной нагрузке исполнения.
Эти выводы были подтверждены исследователем угроз из Expel, Marcus Hutchins, который отслеживал поток сообщений о предполагаемых успешных атаках через PHP2Shell. Hutchins назвал эти данные самым качественным подтверждением эксплуатации PHP2Shell в реальных условиях из всех увиденных им ранее.
Команда безопасности PHP выпустила исправления для этих уязвимостей в среду, 21 октября, за день до этого попросив администраторов подготовиться к установке обновлений. До выхода патчей в сети появились утечки деталей уязвимостей и некоторые концепты эксплойтов, однако команда безопасности PHP заявила, что они не были функциональными. Ряд компаний по кибербезопасности, включая Cloudflare, Hadrian, watchTowr, Previdian и Patchstack, обнаружили попытки эксплуатации до публичного раскрытия, но отметили их как неудачные. Исследователи из Amazon Threat Intelligence также заметили действия атакующих за четыре дня до выпуска патчей, но команда TRACE из Dataminr сообщила, что до находок Karimi активность ограничивалась сканированием, определением параметров системы и использованием неработающих эксплойтов.
Агентство по кибербезопасности и инфраструктурной безопасности CISA в пятницу предоставило правило обнаружения SIGMA для попыток эксплуатации PHP2Shell, но на данный момент агентство еще не отметило эти недостатки как использованные в реальных атаках.
Кроме того, команда безопасности PHP поделилась мерами по смягчению последствий для новой уязвимости удаленного выполнения кода CVE-2026-115560, для которой еще нет патча. Она может быть использована только в системах с необычным сочетанием конфигурации и кода приложения. Разработчики PHP рекомендовали администраторам установить параметр session.upload_progress.enabled=0 для блокировки потенциальных атак.