Веб-серверы и приложения сталкиваются с широкой волной интенсивных атак, нацеленных на опасные уязвимости PHP2Shell. При этом компании, занимающиеся кибербезопасностью, подтверждают, что доля успешных взломов остается крайне ограниченной, несмотря на огромный масштаб попыток.
В ходе этой кампании в центре внимания оказались межсетевые экраны компании Palo Alto Networks: связанная с Китаем хакерская группа сумела взломать некоторые из них, объединив эксплуатацию уязвимостей PHP2Shell с уязвимостью повышения привилегий ядра Linux, известной как Fragnesia, для развертывания вредоносного ПО с правами суперпользователя (root).
Детали атак на устройства Palo Alto
Компания Palo Alto Networks подтвердила результаты, обнародованные специалистами по безопасности, пояснив, что злоумышленники с помощью инструментов искусственного интеллекта воспользовались уязвимостями (CVE-2026-109618) и (CVE-2026-109619) в устройствах PAN-OS, связанных с выставленными в интернет интерфейсами управления. Компания выпустила срочные обновления программного обеспечения для устранения проблемы в уязвимых версиях межсетевых экранов серий PA-Series, VM-Series и систем Panorama.
Компания пояснила, что интерфейс управления по умолчанию не является общедоступным в интернете по своей природе, указав, что лишь очень небольшой процент клиентов по всему миру (около 0.02%) пострадал из-за таких открытых интерфейсов, и с затронутыми клиентами связались напрямую для применения необходимых исправлений.
Широкое влияние на PHP-серверы и неудача против WordPress
Данные телеметрии компании показали, что более 22.6 миллиона экземпляров PHP потенциально уязвимы из-за брешей PHP2Shell ввиду широкого использования этого языка в таких системах управления контентом, как WordPress, Drupal и Joomla.
Несмотря на регистрацию тысяч запросов на сканирование и атак, нацеленных на такие платформы, как WordPress, компания по кибербезопасности Defiant подтвердила, что на сегодняшний день не зафиксировано ни одного случая успешного взлома сайтов на WordPress. Это объясняется необходимостью постоянной адаптации эксплойтов под целевые серверные среды, настройки памяти и версии PHP.
Что важно знать системным администраторам?
Эта кампания подтверждает, что современные кибератаки все больше полагаются на объединение нескольких уязвимостей (цепочки эксплойтов) для получения полного доступа к инфраструктуре критически важных объектов. В то время как большинство задокументированных попыток эксплуатации, отмеченных такими компаниями, как Cato Networks, были сосредоточены на удаленном выполнении кода (RCE) и затрагивали различные секторные организации, включая здравоохранение и технологии, минимальное число успешных взломов подчеркивает важность оперативного обновления и ограничения прямого доступа к интерфейсам управления через интернет.