Хакеры начали взламывать серверы через дыры PHP2Shell
Первые попытки атак AWS заметила ещё 17 октября, за четыре дня до того, как PHP выпустил исправления.
Фото: The Register
Американское агентство по кибербезопасности CISA подтвердило, что хакеры атакуют две критические уязвимости в PHP, получившие общее название PHP2Shell. Через них можно без пароля запустить свой код на сервере, где работает сайт. Исследователи уже зафиксировали успешные взломы, а федеральным ведомствам США дали срок на исправление до 29 октября.
PHP — язык, на котором работает огромная часть интернета, от блогов на WordPress до интернет-магазинов. Уязвимости получили номера CVE-2026-109618 и CVE-2026-109619, каждая оценена в 9,2 балла из 10 по шкале CVSS. Исправления вышли 21 октября в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Что видели исследователи
По данным The Register, Amazon Web Services заметила первые попытки атак ещё 17 октября, за четыре дня до публичного раскрытия. 26 октября CISA внесла обе уязвимости в свой каталог активно эксплуатируемых. Неделей ранее агентство ещё не видело успешных взломов.
Исследователь безопасности Perplexity Адель Карими 24 октября насчитал 35 успешных запусков команд на трёх серверах-ловушках с PHP 8.4.26 и Apache. Атаки шли с двух IP-адресов и использовали первую из двух уязвимостей. После взлома злоумышленники пытались связаться с внешними серверами, но скачать вредоносные программы им не удалось. Карими оговорился, что настройка ловушек была удобной для атакующих, поэтому на реальных серверах картина может отличаться.
Лаборатория киберразведки Делфтского технического университета насчитала больше 50 000 запросов с попытками эксплуатации. Они пришли с более чем 600 IP-адресов из 70 стран, причём 171 адрес отправлял готовый эксплойт или загрузчик вредоносных программ. Часть ранних оценок не подтвердилась: Sophos увидела только сканирование и неудачные попытки, а Palo Alto Networks отозвала заявление о связи уязвимостей со взломом госагентства в Европе.
Что делать владельцам сайтов
Администраторам советуют обновить PHP до исправленной версии своей ветки. Старые версии без поддержки нужно перевести на актуальные или закрыть патчами от поставщика. Серверы, которые нельзя защитить, рекомендуют отключить от сети.
Сколько серверов уже взломали и какие организации пострадали, CISA не раскрывает. Срок до 29 октября обязателен только для федеральных ведомств США, остальным организациям агентство советует ставить эти исправления в приоритет. В начале недели похожую срочную волну обновлений вызвала дыра в библиотеке Brotli.
Источники: The Register — CISA подтвердила атаки через PHP2Shell
