Уже зафиксированы миллионы попыток атак PHP2Shell, но чиновники не видят признаков взлома
- Cloudflare зафиксировала тысячи попыток атаковать PHP2Shell за 10 часов до раскрытия; после объявления их число выросло до миллионов.
- Германия, Нидерланды и Япония не подтвердили успешных взломов; Amazon сообщила о попытке атаки 17 октября, за четыре дня до раскрытия.
- В Японии банки, авиакомпании и другие компании временно отключили некоторые онлайн-сервисы; французская Orange приостановила доступ к части сайтов и приложений.
Почему это важно: Компании временно отключали сервисы, а премьер Японии призвала установить исправление сразу после его выхода.
С момента раскрытия информации в среду хакеры предприняли миллионы попыток воспользоваться уязвимостью PHP2Shell, сообщил в X генеральный директор Cloudflare Мэттью Принс, написавший об этом. Власти Германии, Нидерландов и Японии заявили, что не обнаружили ни одного успешного случая.
Некоторые данные о #php2shell. За 10 часов до публичного объявления об уязвимости в сети @Cloudflare мы зафиксировали тысячи попыток воспользоваться ею. В первые 45 минут после объявления их число выросло до десятков тысяч, за два часа — до сотен тысяч, а сейчас достигло миллионов.
— Мэттью Принс 🌥 (@eastdakota) 22 октября 2026 года
За 10 часов до объявления Cloudflare зафиксировала тысячи попыток атаковать уязвимость. В следующие 45 минут их число выросло до десятков тысяч, а за два часа — до сотен тысяч, написал Принс рано утром в четверг.
Киберагентство Германии BSI зафиксировало атаки, но не обнаружило успешного использования уязвимостей, рассказал Politico вице-президент ведомства Томас Касперс.
«Похоже, воспользоваться уязвимостью немного сложнее, чем ожидалось. Когда мы планировали действия до выхода исправления, мы рассчитывали, что злоумышленники будут действовать намного быстрее», — сказал Касперс.
Подтверждённых взломов нет
Глава нидерландского киберагентства Маттейс ван Амелсфорт сообщил Politico, что ведомство не располагает данными об активном использовании уязвимости. Американское киберагентство CISA заявило в своём предупреждении в среду, что на тот момент не наблюдало попыток эксплуатации.
Исполнительный директор PHP Foundation Элизабет Баррон сообщила CNBC в среду, что организация не видела работающих эксплойтов. Исследователь компании Tolmo, занимающейся кибербезопасностью, Мэтт Сьюич рассказал CNBC, что его команда создала такой эксплойт менее чем за день.
«Пока не похоже, что эксплуатация уязвимостей набрала обороты или стала масштабной», — заявил Guardian исследователь из Калифорнии Райан Остин, помогавший обнаружить уязвимости.
Банки и авиакомпании приостановили работу
Сбои затронули не только сайты по всей Европе. Премьер-министр Японии Санаэ Такаити призвала владельцев сайтов установить исправление сразу после его выхода.
«Мы настоятельно просим всех принять меры сегодня вечером», — написала Такаити, согласно переводу Business Insider.
Банк Mizuho и его подразделение по ценным бумагам приостановили обслуживание в четверг, сообщило Bloomberg. Shizuoka Bank приостановил работу сайта и приложения, а компании группы MUFG отключили некоторые онлайн-сервисы. All Nippon Airways отключила посадочные талоны в Apple Wallet, заявив, что не обнаружила признаков взлома. Japan Airlines, East Japan Railway и Seven-Eleven Japan временно отключили некоторые веб-сервисы. Генеральный секретарь кабинета министров Минору Кихара заявил, что подтверждённых атак с использованием уязвимостей нет.
Во Франции Orange приостановила доступ к некоторым сайтам и приложениям на время установки исправлений. В Великобритании представитель правительства заявил, что власти проверяют, затронуты ли уязвимостями их собственные онлайн-сервисы, сообщила BBC. Южная Корея повысила уровень киберугрозы для частного сектора, пишет Guardian.
Попытки до выхода исправления
Попытки атаковать уязвимости начались ещё до того, как о них стало известно общественности. Кто-то попытался воспользоваться PHP2Shell 17 октября — за четыре дня до раскрытия информации об уязвимости, сообщила Amazon. Попытка была направлена на её серверы-приманки с анонимизированного адреса. Директор по информационной безопасности Amazon Си Джей Мозес заявил, что неясно, как злоумышленник получил сведения об эксплойте во время эмбарго.
OpenAI, возглавившая коалицию, подготовившую экстренные исправления, ранее заявляла, что, насколько ей известно, ИИ обнаружил уязвимости раньше злоумышленников. За несколько часов до выхода исправлений в 14:00 UTC Amazon зафиксировала больше попыток со стороны нескольких групп.
«PHP2Shell уже активно используют в реальных атаках», — написал Мозес.
По его словам, анализ продолжается. Неясно, сработала бы какая-либо из попыток против реальных систем. Amazon не сообщила, были ли пострадавшие, передало Bloomberg.
Спор вокруг утечки
Теперь разгорелся спор о самом раскрытии информации. PHP Foundation заявила, что Chainguard нарушила эмбарго, опубликовав образы с исправлениями более чем за шесть часов до их выхода. Генеральный директор Chainguard Дэн Лоренц заявил The Register, что его компания ничего не раскрывала. По его словам, исправления выпустили, потому что атаки уже начались, и компания не стала бы поступать иначе.
«Раскрытие информации об уязвимости скоординировано — если только нет свидетельств активной эксплуатации в реальных условиях», — сказал Лоренц.
