Агентство по кибербезопасности и защите инфраструктуры США (CISA) включило две критические уязвимости в языке программирования PHP, известные под общим названием PHP2Shell, в каталог уязвимостей, эксплуатируемых в реальных атаках.
Детали уязвимостей и активных атак
Обе уязвимости, имеющие идентификаторы (CVE-2026-109618) и (CVE-2026-109619), позволяют злоумышленникам без предварительных привилегий проводить высокосложные атаки, направленные на удаленное выполнение кода (RCE) на системах, не получивших необходимых обновлений безопасности. Команды безопасности PHP выпустили необходимые программные обновления для устранения этих двух уязвимостей в октябре, после того как несколько компаний по кибербезопасности зафиксировали широкомасштабные попытки эксплуатации еще до публичного объявления.
Несмотря на утечку деталей уязвимостей и публикацию некоторых кодов подтверждения концепции (PoC) в интернете до выпуска официальных исправлений, команда безопасности PHP подтвердила, что эти попытки изначально не были эффективными. Тем не менее, несколько компаний по кибербезопасности, включая Amazon и Cloudflare, задокументировали попытки эксплуатации уязвимостей всего за несколько дней до выпуска официальных обновлений.
Срочные директивы для государственных органов
Вслед за этими событиями CISA добавила уязвимости в каталог известных эксплуатируемых уязвимостей (KEV) и обязала федеральные гражданские исполнительные ведомства (FCEB) защитить свои системы и применить необходимые исправления в соответствии с обязательной оперативной директивой (BOD 26-04). Агентство предупредило, что этот класс уязвимостей представляет собой распространенный вектор атаки, который напрямую угрожает федеральной инфраструктуре и организациям.
Что это означает на практике?
Эти обновления приобретают критическое значение ввиду широкого распространения языка PHP: по оценкам платформы VirusTotal, PHP используется примерно на 70% всех веб-сайтов в мире, что подвергает риску миллионы хостов. Эти оперативные действия американского агентства и скорость реагирования групп реагирования на инциденты подчеркивают необходимость внедрения технологическими организациями планов управления уязвимостями, основанных на рисках, для немедленного реагирования на любые критические уязвимости, эксплуатация которых подтверждается в цифровой среде.