Развитие атак PHP2Shell
Всего через два дня после выпуска экстренных обновлений для устранения уязвимостей PHP2Shell (зарегистрированных под номерами CVE-2026-109618 и CVE-2026-109619) компании, занимающиеся кибербезопасностью, зафиксировали интенсивные попытки злоумышленников использовать эти уязвимости для распространения известного ботнета Mirai. Несмотря на серьезность уязвимостей, позволяющих выполнять произвольный код (RCE) и получивших оценку 9.2 по шкале CVSS v4.0, на данный момент в реальных средах не было подтверждено ни одного успешного взлома.
Технические трудности злоумышленников
Анализ таких компаний, как Sophos и Hunt.io, показывает, что злоумышленники сталкиваются с серьезными трудностями при превращении этих уязвимостей в эффективные эксплойты. В Sansec пояснили, что уязвимости требуют точного знания конфигураций сервера и определенных условий работы, поскольку большинство общедоступных инструментов терпят неудачу при столкновении с настройками PHP по умолчанию.
В свою очередь, компания VulnCheck успешно разработала эксплойт, обходящий технологию ASLR (рандомизация размещения адресного пространства) в системах x86-64 — механизм защиты памяти, который ранее считался главным препятствием для злоумышленников. Тем не менее, этот эксплойт остается доступным только клиентам компании, что отражает разрыв между публичными инструментами и передовыми атакующими возможностями.
Что меняется на практике?
- Сложность эксплуатации: Инструменты, обнаруженные на серверах злоумышленников (через SOCRadar), показали, что нападающие проводят интенсивные лабораторные эксперименты, но не могут взломать реальные серверы, конфигурации которых не совпадают с их тестовыми средами.
- Превентивные меры: Опасения по поводу этих уязвимостей привели к тому, что многие организации, включая государственные и образовательные учреждения в Европе, временно отключили свои системы в качестве профилактической меры во время применения обновлений.
- Пробел в патчах: Данные Qualys выявили серьезную проблему в управлении обновлениями: миллионы копий PHP по-прежнему работают на очень старых версиях (End-of-Life), которые не получат никаких испаров безопасности, что делает их уязвимыми к рискам в долгосрочной перспективе.
Контекст безопасности
Уязвимости были обнаружены в августе прошлого года компаниями Wiz, OpenAI и Calif, а выпуск обновлений (версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35) был ускорен 21 октября после утечки идентификаторов CVE. Несмотря на то, что компания Amazon зафиксировала первые попытки эксплуатации еще 17 октября, на данный момент эта атакующая активность не привела к подтвержденным взломам, что дает системным администраторам критическую возможность применить обновления до того, как злоумышленники разработают более эффективные инструменты.