Исследователи кибербезопасности из подразделения Amazon Threat Intelligence подтвердили, что злоумышленники начали атаковать опасные уязвимости PHP2Shell за четыре полных дня до официального выпуска патчей безопасности.
Две критические уязвимости, имеющие идентификаторы CVE-2026-109618 и CVE-2026-109619, позволяют злоумышленникам выполнять удаленное выполнение кода (RCE) на скомпрометированных системах. Команда разработчиков PHP поспешила выпустить необходимые исправления 21 октября, спустя день после того, как призвала системных администраторов подготовиться к установке обновлений сразу после их появления.
Утечка деталей уязвимостей и ускорение графика
Команда PHP пояснила, что события развивались быстрее, чем планировалось изначально, за два дня до полного раскрытия информации, после того как в интернете были опубликованы технические детали уязвимостей PHP2Shell. Эти данные включали идентификаторы CVE и рекомендации по смягчению последствий, предназначенные для некоторых поставщиков критической инфраструктуры. Несмотря на публикацию некоторых доказательств концепции (PoC) до выпуска обновлений, команда PHP отметила, что на тот момент они не обладали реальной функциональной возможностью для взлома.
Мониторинг атак в реальных условиях
Отчет Amazon появился после того, как несколько охранных компаний, включая Cloudflare, watchTowr, Previdian, Hadrian и Patchstack, зафиксировали неудачные попытки эксплуатации, предшествовавшие публичному раскрытию. Согласно заявлениям Си Джея Мозеса, директора по информационной безопасности Amazon Web Services (AWS), первые попытки были предприняты в субботу, 17 октября, с IP-адресов, принадлежащих коммерческой сети для сокрытия личности.
Мозес добавил, что фактические полезные нагрузки и инфраструктура, используемая для сокрытия личности, различались, что указывает на причастность нескольких атакующих сторон. Он предостерег защитников от того, чтобы полагаться на дату публичного раскрытия как на самый ранний момент начала атак, и подтвердил, что уязвимости в настоящее время активно эксплуатируются в реальных условиях.
Что это означает для сайтов и систем?
Язык PHP (Hypertext Preprocessor) является программной основой с открытым исходным кодом, на которой работает около 80% всех веб-сайтов в интернете, включая популярные платформы управления контентом, такие как WordPress, Drupal и Joomla. Данные платформы VirusTotal указывают на наличие более 5,1 миллиона серверов PHP, доступных через интернет, из которых около 3,8 миллиона имеют как минимум один порт, открытый для потенциальных атак, что делает масштаб возможного воздействия крайне широким.