Детали превентивных атак
Отчеты, опубликованные группой по анализу угроз компании Amazon (Amazon Threat Intelligence), подтвердили, что злоумышленники пытались использовать критические уязвимости в языке программирования PHP за несколько дней до выпуска официальных обновлений. Системы мониторинга Amazon зафиксировали попытки эксплуатации уязвимости, известной как PHP2Shell, 17 октября, то есть до официального объявления об исправлении.
Обнаруженные уязвимости связаны с идентификаторами CVE-2026-109618 и CVE-2026-109619, которые позволяют злоумышленникам удаленно выполнять вредоносный код на скомпрометированных системах. Несмотря на то, что Элизабет Бэррон, исполнительный директор PHP Foundation, подтвердила отсутствие доказательств успешного удаленного выполнения кода на данный момент, она подчеркнула необходимость немедленного обновления систем.
Почему исправление задержалось?
В PHP Foundation пояснили, что уязвимости были теоретически известны с 2024 года, однако устранение этих дефектов столкнулось со сложными техническими проблемами, включая необходимость сохранения обратной совместимости (Backward Compatibility), предотвращение атак типа «отказ в обслуживании», а также трудности координации с разработчиками сторонних расширений. По мере приближения даты выпуска решения детали уязвимостей начали просачиваться через форумы и социальные сети, что дало злоумышленникам возможность воспользоваться ими до появления защиты.
Что изменится на практике?
PHP Foundation признала наличие недостатков в управлении кризисными ситуациями в сфере безопасности и пообещала изменить свои внутренние процессы, чтобы гарантировать, что критические уязвимости, требующие сложных решений, быстрее доводились до сведения руководства. Цель состоит в том, чтобы ускорить процесс принятия решений и преодолеть сложные технические компромиссы, которые могут препятствовать своевременному выпуску обновлений.
Этот инцидент является суровым напоминанием о рисках «утечки информации» до ответственного раскрытия, поскольку в отчете Amazon отмечается, что злоумышленники могли идентифицировать уязвимость еще до начала публичных утечек. Это указывает на наличие субъектов, которые внимательно следят за изменениями в репозиториях исходного кода или используют периоды эмбарго для поиска необъявленных уязвимостей.