Миллионы попыток взлома через PHP2Shell — но пока ни одного успешного

Спустя считаные недели после раскрытия уязвимостей, получивших общее название PHP2Shell, интернет захлестнула волна попыток их эксплуатации. Речь идёт о двух дырах в движке PHP — CVE-2026-109618 и CVE-2026-109619 (CVSS 9.2), позволяющих выполнить произвольный код без аутентификации через специально сформированные HTTP-запросы. Исправления вышли в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

Масштаб активности впечатляет. По данным Cloudflare, первые десятки тысяч попыток зафиксированы уже через 45 минут после публикации, в течение двух часов счёт пошёл на сотни тысяч, а к 22 октября — на миллионы. При этом исследователи из Cisco Talos, Previdian, Wordfence и других компаний сходятся в одном: пока это преимущественно сканирование и разрозненные попытки доставить полезную нагрузку. Ни одного подтверждённого случая удалённого выполнения кода и ни одного закреплённого на сервере PHP-файла не наблюдается.

Эксплойт оказался сложнее, чем ждали

Один из злоумышленников пытался втянуть заражённые машины в вариант ботнета Mirai под названием Potassium — форк с шифрованием конфигурации ChaCha20, функциями загрузчика и DDoS. Целью были волновые атаки на два соседних хоста в одной украинской сети. Но попытка провалилась. Как отмечает Sophos, отсутствие успешных атак говорит о том, что атакующие «испытывают трудности» с созданием надёжного эксплойта.

Главное препятствие — технология ASLR, рандомизирующая расположение кода в памяти. Команда VulnCheck заявила, что разработала новый приём, связывающий обе уязвимости воедино: утечка памяти позволяет обойти ASLR и выполнить код на системах x86-64 даже при рекомендованной «боевой» конфигурации PHP. Публичных или коммерческих аналогов, работающих в тех же условиях, компания не нашла.

Длинный хвост в духе Log4Shell

Уязвимый код, по оценке Sysdig, восходит к PHP 5.4 образца 2012 года и живёт в самом движке, а не в приложениях. Поэтому даже безупречно написанный сайт на WordPress, Drupal или Joomla остаётся уязвимым. Исправлений для старых веток нет, и специалисты ожидают, что PHP2Shell будет аукаться долго — по аналогии с Log4Shell. По данным Censys, PHP работает на более чем 3 миллионах хостов, и свыше 34 миллионов сервисов на 23 октября по-прежнему считаются уязвимыми.

Из осторожности ряд государственных, школьных и больничных сайтов в Азии, Европе и Северной Америке ушли в офлайн. Британское правительство подтвердило недоступность 32 цифровых сервисов, а Национальный центр кибербезопасности разослал около 50 тысяч предупреждений организациям.

Источник: The Hacker News