Технические отчеты подтвердили, что злоумышленникам удалось успешно использовать критические уязвимости безопасности, известные как PHP2Shell (зарегистрированные под идентификаторами CVE-2026-109618 и CVE-2026-109619), для удаленного выполнения команд (RCE) в реальных рабочих средах.
Это подтверждение появилось после того, как Адель Карими (Adel Karimi), руководитель отдела обнаружения и реагирования в компании Perplexity, зафиксировал вредоносную активность. Системы "honeypot" зарегистрировали неопровержимые доказательства выполнения удаленных команд против инсталляции Apache mod_php на версии PHP 8.4.26. Карими пояснил, что атака не ограничилась простым сбоем системы, но также включала раскрытие памяти (memory disclosure), что позволило злоумышленникам извлечь данные и использовать их в последующих полезных нагрузках.
Эволюция атак от сканирования к взлому
Хотя многие компании по кибербезопасности, такие как Cloudflare и Patchstack, фиксировали попытки эксплуатации этих уязвимостей до их публичного раскрытия, эти попытки классифицировались как безуспешные или представляли собой лишь сканирование и определение отпечатков (scanning and fingerprinting). Тем не менее, открытие Карими, которое также подтвердил исследователь угроз Маркус Хатчинс (Marcus Hutchins) из компании Expel, знаменует собой опасный переход от стадии разведки уязвимостей к этапу реального и успешного взлома.
Почему эта новость представляет чрезвычайную опасность?
Опасность заключается в широком распространении PHP: по оценкам VirusTotal, этот язык используется примерно на 70% всех веб-сайтов в интернете, причем более 5,1 миллиона хостов с поддержкой PHP доступны из интернета. Это означает, что любая уязвимость, позволяющая выполнять удаленный код в этом языке, открывает путь для масштабных атак, которые могут затронуть глобальную цифровую инфраструктуру.
Предупреждение о новой уязвимости и меры защиты
Одновременно с устранением уязвимостей PHP2Shell команда безопасности PHP предупредила о новой уязвимости RCE (CVE-2026-115560), для которой пока нет патча (patch). Она нацелена на системы с нестандартными конфигурациями и приложениями. Для защиты систем рекомендуется принять следующие меры:
- Немедленное обновление PHP: Администраторы систем должны установить обновления безопасности, выпущенные командой PHP 21 октября для устранения уязвимостей PHP2Shell.
- Срочные профилактические меры: Для противодействия новой уязвимости (CVE-2026-115560), для которой в настоящее время нет исправления, рекомендуется отключить функцию загрузки файлов через сеансы, установив следующий параметр в конфигурационном файле: session.upload_progress.enabled=0.