Уязвимости PHP2Shell впервые подтверждённо использованы в атаках

Две критические уязвимости удалённого выполнения кода (CVE-2026-109618 и CVE-2026-109619), которые вместе получили имя PHP2Shell, теперь подтверждённо используются в реальных атаках.

Зловредную активность поймал Адель Карими, руководитель направления detection and response в Perplexity: его ловушки-honeypot зафиксировали успешное выполнение кода против связки Apache mod_php с PHP 8.4.26.

«Это уже подтверждённый RCE с пригодной к использованию утечкой памяти, а не просто сбой с последующим подозрительным процессом, — пишет Карими. — В ответе прилетел дамп cookie размером 800 КиБ, а адрес функции, вычисленный из этого дампа по смещениям из публичного эксплойта, затем появился в полезной нагрузке. Клиент подтвердил получение ответа, после чего команда shell отработала примерно через 1,6 мс после последнего захваченного байта запроса на выполнение».

Наблюдения Карими подтвердил и исследователь угроз Маркус Хатчинс из Expel, отслеживающий поток сообщений о якобы успешной эксплуатации PHP2Shell. По его словам, это пока самое качественное подтверждение атак в дикой природе, которое он видел.

Патч вышел неделей раньше

Команда безопасности PHP закрыла уязвимости в среду, 21 октября, — на следующий день после того, как попросила администраторов готовиться к срочной установке обновлений. Детали (включая идентификаторы CVE и рекомендации по смягчению, разосланные некоторым операторам критической инфраструктуры) и несколько PoC-эксплойтов утекли в сеть ещё до выхода патчей, но, по словам PHP-команды, ни один из них не был рабочим.

Попытки эксплуатации до официального раскрытия фиксировали сразу несколько компаний — Cloudflare, Hadrian, watchTowr, Previdian и Patchstack, — но все они были неуспешными. Amazon Threat Intelligence заметила атакующих ещё за четыре дня до выхода патчей, однако до находки Карими активность, по данным команды TRACE из Dataminr, ограничивалась сканированием, фингерпринтингом и нерабочими эксплойтами без известных компрометаций.

В пятницу команда PHP также выпустила рекомендации по смягчению для новой уязвимости RCE (CVE-2026-115560), у которой пока нет патча и которая срабатывает лишь при «необычном сочетании конфигурации и прикладного кода». До выхода исправления администраторам советуют задать session.upload_progress.enabled=0.

PHP используется примерно на 70% всех сайтов в интернете; по оценкам VirusTotal, в сети открыто более 5,1 млн PHP-хостов, около 3,8 млн из которых имеют хотя бы один доступный для атак порт.

Источник: Bleeping Computer