Хакерлер PHP2Shell арқылы серверді алғаш рет бұзды

PHP тіліндегі PHP2Shell осалдықтары алғаш рет нақты бұзуға қолданылды. BleepingComputer 26 қазанда хабарлағандай, Perplexity маманының хакерлерге арналған тұзақтары PHP 8.4.26 орнатылған Apache серверінде кодтың қашықтан орындалғанын тіркеді. Бұған дейін бұл екі осалдыққа жасалған шабуылдар бұзуға ұласпаған еді.

Олжаны Perplexity-дегі қауіптерді анықтау және оларға әрекет ету бағытының жетекшісі Адель Карими сипаттады. Оның тұзақтары, яғни шабуыл үшін әдейі ашық қалдырылған серверлер, екі эпизодты тіркеген. Шабуылдаушылар алдымен сервер жадынан шамамен 800 КиБ дерек тартып алды. Содан кейін сол деректен алынған функция адресін пайдаланып, команда орындады.

«Бұл енді жай ақау мен күдікті процесс емес, жадтың жылыстауымен қоса расталған код орындау», — деп жазды Карими. Сұраудың соңғы байты келгеннен кейін шамамен 1,6 мс өткенде серверде команда іске қосылған.

Қорытындыны Expel компаниясының қауіп зерттеушісі Маркус Хатчинс тексерді. Ол мұны PHP2Shell-дің нақты ортада қолданылғанының өзі көрген ең сапалы дәлелі деп атады.

Осалдықтар туралы не белгілі

PHP2Shell екі сыни осалдықты біріктіреді: CVE-2026-109618 және CVE-2026-109619. Екеуі де серверде бөгде кодты орындауға мүмкіндік береді. PHP әзірлеушілері түзетулерді 21 қазанда шығарды, ал оның алдында бір күн бұрын әкімшілерді ескертті.

Осалдықтардың егжей-тегжейі мен демонстрациялық эксплойттар патч шыққанға дейін-ақ сыртқа тарап кетті. Алайда PHP қауіпсіздік командасы олардың бірде-бірі жұмыс істемейтінін мәлімдеді. Cloudflare, watchTowr, Patchstack және басқа компаниялар шабуыл әрекеттерін көрген, бірақ оларды сәтсіз деп бағалаған. Dataminr дерегінше, Каримидің олжасына дейін хакерлер тек серверлерді сканерлеп, жұмыс істемейтін эксплойттарды сынап жүрген. Amazon Threat Intelligence шабуылдар түзетулер шығудан төрт күн бұрын басталғанын хабарлады.

Қанша сервер бұзылғаны белгісіз. PHP сайттардың шамамен 70%-ында жұмыс істейді. VirusTotal бағалауынша, интернетте PHP орнатылған 5,1 млн-нан астам сервер қолжетімді, оның шамамен 3,8 млн-ында шабуылға ашық кемінде бір порт бар.

Үшінші осалдыққа әзірге патч жоқ

Сонымен қатар PHP-ден кодты қашықтан орындауға мүмкіндік беретін тағы бір осалдық табылды, ол CVE-2026-115560 деп аталады. Оның түзетуі әлі жоқ. Алайда ол баптаулар мен қосымша коды сирек үйлескенде ғана іске асады. Патч шыққанша әзірлеушілер session.upload_progress.enabled параметрін өшіруге кеңес береді.

Сайт иелері үшін қазір ең бастысы — PHP-ді жаңарту. Бұған дейін жазғанымыздай, PHP2Shell түзетулерін тек 8.2-ден бастап жаңа тармақтар алды, ал сайттардың едәуір бөлігі ескі нұсқаларда жұмыс істейді.

Дереккөздер: BleepingComputer — PHP2Shell арқылы алғашқы расталған бұзулар туралы