Уязвимости PHP2Shell эксплуатируются: CISA дало ведомствам США срок до четверга
- CISA внесла CVE-2026-109618 и CVE-2026-109619 в каталог эксплуатируемых уязвимостей; федеральным гражданским ведомствам назначен срок устранения до 29 октября.
- Ханипоты зафиксировали 35 команд оболочки; данные подтверждают эксплуатацию CVE-2026-109618, но не второй уязвимости.
- К вечеру вторника лаборатория Делфтского технического университета зарегистрировала 68 499 запросов на эксплуатацию с 652 IP-адресов в 73 странах.
Почему это важно: Полноценных мер смягчения нет, поэтому CISA советует отключить от сети системы, которые нельзя быстро обновить.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) внесло обе уязвимости PHP2Shell в свой каталог известных эксплуатируемых уязвимостей. Это изменение было сделано в понедельник, говорится в его оповещении. Федеральные гражданские ведомства должны устранить CVE-2026–109618 и CVE-2026–109619 до четверга, 29 октября.
На прошлой неделе CISA предупреждало об этих уязвимостях, но заявляло, что не фиксировало их эксплуатации. Об изменении сообщил Дэвид Димольфетта в Nextgov/FCW. В новых записях каталога не называются жертвы и не описываются доказательства, на которых основано решение. В четверг официальные лица в ряде стран всё ещё не видели подтверждённых взломов.
Что зафиксировали ханипоты
Наиболее подробные публичные доказательства на данный момент представил Адель Карими, руководитель направления обнаружения и реагирования в Perplexity. Его ханипоты — это серверы-приманки, созданные для привлечения злоумышленников. В субботу, 24 октября, они зафиксировали 35 команд оболочки, запущенных веб-сервером Apache. Он изложил доказательства в отчёте на GitHub.
На трёх целевых серверах работал PHP 8.4.26 под модулем Apache mod_php. Сеансы оболочки шли с двух IP-адресов, что, как говорится в отчёте, не означает атрибуцию двум разным группам. Затем злоумышленники пытались связаться с внешними серверами с помощью PHP, curl и wget. Загрузки вредоносного ПО в отчёте не зафиксировано. Доказательства соответствуют CVE-2026–109618, а использование второй уязвимости не прослеживается.
В X Карими назвал это подтверждённым удалённым выполнением кода с пригодной для использования утечкой памяти. О его публикациях сообщил Сергиу Гатлан в BleepingComputer. Карими также предупредил, что его ханипоты использовали конфигурацию с одним рабочим процессом, которая благоприятствует атаке. Результаты не показывают, насколько надёжно эксплойт работает на других серверах. Выводы подтвердил и Маркус Хатчинс, исследователь угроз в Expel.
«Это, безусловно, самое качественное подтверждение реальной эксплуатации php2shell, которое я видел до сих пор», — написал Хатчинс в X.
Заявленная цепочка атак на 25 серверов
Израильская компания по кибербезопасности Dream, одним из основателей которой является создатель Pegasus Шалев Хулио, в понедельник опубликовала собственный отчёт. В блоге компания сообщила, что обнаружила следы кампании, в ходе которой были получены root-права на 25 серверах. Среди них были системы в среде, связанной с правительством США. Злоумышленники захватили 24 межсетевых экрана и один внутренний сервер управления.
По данным Dream, злоумышленники сочетали PHP2Shell с Fragnesia (CVE-2026–46300). Эта уязвимость ядра Linux позволяет получить root-доступ. Они расшифровали пароль служебной учётной записи LDAP и получили список всех пользователей и групп домена. Dream не удалось установить, увенчались ли успехом последующие шаги, например создание учётной записи-бэкдора.
Следователи обнаружили установленный Claude Code, а также платформу для атак, настроенную с использованием китайских моделей DeepSeek и Kimi. В Dream заявили, что у компании нет прямых доказательств того, что эксплойт был написан с помощью этих инструментов. Также, по её словам, операция не похожа на полностью автономную атаку государственного уровня.
«Мы не приписываем эту активность какой-либо конкретной группировке. Однако ряд признаков указывает на операцию, связанную с Китаем», — написали в Dream.
TNW не проверял выводы Dream независимо.
Масштаб распространения
Лаборатория анализа угроз Делфтского технического университета отслеживает атаки на общедоступной панели. К вечеру вторника с 21 октября она зарегистрировала 68 499 запросов на эксплуатацию с 652 IP-адресов в 73 странах. С 174 из этих адресов отправлялся код или дроппер — небольшая программа, загружающая вредоносное ПО.
Некоторые более ранние заявления не подтвердились. Sophos исправила сообщение об успешных атаках на своих клиентов: её телеметрия показала лишь сканирование и несколько неудачных попыток. Подразделение Unit 42 компании Palo Alto Networks также отозвало свою оценку, согласно которой злоумышленники использовали PHP2Shell против европейского государственного ведомства.
Разработчики PHP устранили обе уязвимости 21 октября в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обе ошибки первыми обнаружили ИИ-инструменты. Команда PHP заявляет, что наибольший риск касается mod_php и что полноценных мер смягчения не существует. В понедельник она также выпустила сборки для Windows с исправлением уязвимости Brotli. CISA рекомендовало организациям, которые не могут быстро обновиться, отключить свои системы от сети.
