Хакеры впервые взломали сервер через PHP2Shell

Уязвимости PHP2Shell в языке PHP впервые использовали для настоящего взлома. Как сообщил BleepingComputer 26 октября, ловушки для хакеров у специалиста Perplexity записали удалённое выполнение кода на сервере Apache с PHP 8.4.26. До этого атаки на две дыры не приводили к взломам.

Находку описал Адель Карими, руководитель направления обнаружения угроз и реагирования в Perplexity. Его ловушки, то есть специально открытые для атак серверы, зафиксировали два эпизода эксплуатации. Атакующие сначала вытянули из памяти сервера около 800 КиБ данных, а затем использовали полученный оттуда адрес функции, чтобы выполнить команду.

«Теперь это подтверждённое выполнение кода с утечкой памяти, а не просто сбой и подозрительный процесс», — написал Карими. Команда на сервере сработала примерно через 1,6 мс после того, как пришёл последний байт запроса.

Выводы проверил Маркус Хатчинс, исследователь угроз из компании Expel. Он назвал их самым качественным подтверждением атак PHP2Shell «в дикой природе», которое видел.

Что известно о дырах

PHP2Shell объединяет две критические уязвимости, CVE-2026-109618 и CVE-2026-109619. Обе позволяют выполнить на сервере чужой код. Разработчики PHP выпустили исправления 21 октября, за день до этого предупредив администраторов.

Подробности и демонстрационные эксплойты утекли ещё до выхода патчей, но команда безопасности PHP заявила, что ни один из них не работал. Cloudflare, watchTowr, Patchstack и другие компании видели попытки атак, однако считали их неудачными. По данным Dataminr, до находки Карими хакеры только сканировали серверы и пробовали нерабочие эксплойты. Amazon Threat Intelligence сообщила, что атаки начались за четыре дня до выхода исправлений.

Сколько серверов уже взломали, неизвестно. PHP работает примерно на 70% сайтов. По оценке VirusTotal, в интернете доступно больше 5,1 млн серверов с PHP, и около 3,8 млн из них держат открытым хотя бы один порт для атаки.

Третья дыра пока без патча

Одновременно в PHP нашли ещё одну уязвимость для удалённого выполнения кода, CVE-2026-115560. Исправления для неё нет. Сработать она может лишь при редком сочетании настроек и кода приложения. До выхода патча разработчики советуют отключить параметр session.upload_progress.enabled.

Владельцам сайтов теперь важнее всего обновить PHP. Как мы писали раньше, исправления PHP2Shell получили только ветки начиная с 8.2, а значительная часть сайтов работает на более старых версиях.

Источники: BleepingComputer — о первых подтверждённых взломах через PHP2Shell