21 октября 2026 года, за день до публикации сведений об уязвимостях PHP2Shell, Amazon заметила попытку атаки на свою ловушку-приманку. CISO Amazon Integrated Security Си Джей Мозес сообщил, что запрос пришёл с IP-адреса 103.216.220[.]92, который геолокировался в Австралии и был связан с коммерческой сетью анонимизации. По словам представителя Amazon, это была в основном единичная проверка, но «нет доказательств», что она была безвредной. Как именно злоумышленники узнали о проблеме до раскрытия, осталось неясным.
Самую раннюю попытку Amazon зафиксировала примерно в 2:00 UTC 21 октября 2026 года. Позже компания обнаружила несколько эксплойтов-подтверждений концепции (PoC) — примерно в день выхода исправлений. Разнообразие полезных нагрузок и использование анонимизирующей инфраструктуры, по оценке Amazon Threat Intelligence, указывали на участие нескольких групп.
Речь шла о двух ошибках в ядре PHP: CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 по CVSS. Уязвимости обнаружили исследователи Calif, OpenAI и Wiz, принадлежащей Google. Они позволяли выполнить код удалённо, без предварительной аутентификации, и затрагивали все выпуски PHP веток 7.x и 8.x. Под угрозой оказывалась любая доступная извне точка PHP-сервера: форма, страница входа или даже проверка работоспособности. В предупреждениях также фигурировала другая неисправленная уязвимость удалённого выполнения кода — CVE-2026-115560.
Обнаружить последствия атаки непросто. CrowdStrike отмечала, что при эксплуатации не нужно обходить аутентификацию, красть сессию или искать уязвимый адрес. CMS, фреймворк и плагины значения не имеют; рабочие процессы продолжают работать, а сервер возвращает HTTP 200. Поскольку код приложения не запускается, в его журналах может не появиться ничего подозрительного. Единственным следом на сервере иногда становится ошибка превышения лимита памяти в журнале веб-сервера, которую легко принять за обычный шум. По оценке CrowdStrike, у защитников почти не остаётся полезной веб-телеметрии для выявления взломанных узлов.
Публикацию планировали на 22 октября 2026 года, 14:00 UTC. Но идентификаторы CVE и PoC утекли раньше срока, и PHP Foundation перенесла раскрытие на день вперёд. ELLIO обнаружила первый PHP2Shell-запрос к своим датчикам 21 октября в 8:36 UTC, менее чем через час после того, как Chainguard выпустила сборки с исправлением. PHP Foundation заявила, что Chainguard получила патч заранее, чтобы её пользователи могли обновиться к моменту раскрытия. Публикация исправленных образов до назначенного времени, по мнению фонда, позволила атакующим изучить патч в бинарном виде, пока остальные пользователи PHP ещё ждали.
Обе ошибки затрагивали управление памятью и обработку ошибок — участки, через которые проходит почти каждый PHP-запрос. Фонд объяснил, что исправлять такие компоненты трудно: неосторожное изменение может нарушить совместимость, снизить производительность или потребовать доработки сторонних расширений.
Помимо адреса, замеченного Amazon, в сообщениях об активности фигурировали 223.184[.]166, 37.19.200[.]5, 134.209.159[.]64, 103.114.163[.]188 и 95.217.98[.]37. К 19:08 по тихоокеанскому летнему времени 21 октября WebOps заблокировала более 60 тысяч подозрительных запросов. VulnCheck обнаружила, что адреса 85.11.167[.]243 и 45.198.224[.]169 атаковали её ловушки с заголовком пользователя «php2shell-scan/109618», применяя CVE-2026-109618; адрес 109.71.252[.]97 использовал обе уязвимости. Cloudflare сообщила об атаках на клиентов и о том, что злоумышленники меняли полезные нагрузки, пытаясь обойти защиту. JFrog нашла на GitHub поддельные PoC и вредоносные шутки, которые заменяли обои жертвы на материалы для взрослых. CloudLinux выпустила исправленные пакеты ea-php52–ea-php85 и для всех версий alt-php.
Масштаб риска связан с распространённостью PHP и большим числом устаревших установок. По данным Cloudflare, PHP работает почти на 70% сайтов, включая платформы WordPress и Magento; эксплуатация ошибок могла привести к запуску вредоносного кода, утечке данных клиентов или сбоям сервисов. VulnCheck насчитала 2 608 039 доступных из интернета узлов с PHP: более 700 тысяч использовали версии от 3.x до 7.3, около 400 тысяч — 7.4, 8.0 или 8.1, а 403 тысячи — поддерживаемые ветки 8.2–8.5. Modat на 20 октября 2026 года обнаружила 4,38 миллиона интернет-доступных PHP-сервисов. Около 79%, или 3,47 миллиона, работали на неподдерживаемых ветках 4.x, 5.x, 7.x, 8.0 и 8.1. На PHP 7.3 приходилось 486 684 сервиса, на PHP 7.2 — 461 965.
Илькка Турунен, технический директор Sonatype, призвал организации определить, где именно используется PHP, назначить ответственных за устранение проблемы и установить сроки установки исправлений. Задача осложняется тем, что PHP часто поставляется вместе с операционными системами и сохраняется в старых средах. Национальный центр кибербезопасности Великобритании (NCSC) и Агентство кибербезопасности и безопасности инфраструктуры США (CISA) рекомендовали срочно установить исправления или отключить уязвимые системы. ФБР посоветовало отслеживать необычные действия PHP-процессов, в частности запуск командной оболочки и загрузку файлов, и проверить наличие средств мониторинга процессов. АНБ предупредило, что уязвимости могут дать злоумышленникам прямой доступ к файловой системе или базе данных сервера. OpenAI назвала их «одной из самых серьёзных проблем безопасности за последнее время» и выпустила инструмент Codex для проверки сайта или локального двоичного файла PHP на уязвимость PHP2Shell.
Рекомендации и меры защиты публиковали Akamai, Amazon Web Services (AWS), Arctic Wolf, Automattic, Check Point Software, Cisco и Cisco Talos, Coalition, Corelight, CyCognito, Datadog, Debian, Endor Labs, Expel, Fastly, Fortinet, Google Cloud, Hadrian, Huntress, Imperva, Intruder, Kaspersky, Microsoft Azure, NetSPI, Orca Security, OX Security, Palo Alto Networks Unit 42, Patchstack, Pentest Tools, Qualys, Rapid7, Recorded Future, ReliaQuest, Sansec, SOCRadar, Searchlight Cyber, SolarWinds, Sophos, Tanium, Tenable, Trend Micro, Ubuntu, Vercel, watchTowr, Wordfence и Zscaler. Предупреждения также выпустили Австралийское управление сигналов (ASD), Канадский центр кибербезопасности (CCCS), CERT-EU, CISA, Агентство кибербезопасности Сингапура (CSA), Агентство Европейского союза по кибербезопасности (ENISA), Федеральное ведомство по информационной безопасности Германии (BSI), индийская CERT-In, NCSC Великобритании, NCSC-NL и АНБ.
Мозес предупредил, что промежуток между выпуском патча и появлением рабочего эксплойта сокращается. Раньше после публикации PoC лишь немногие подготовленные атакующие быстро создавали собственные инструменты, а остальные ждали. Теперь анализ с помощью ИИ удешевляет превращение различий между версиями патча или технического описания в рабочий эксплойт. Поэтому действовать могут десятки групп, причём уже через несколько часов или даже минут после того, как детали становятся публичными.
Изображение носит иллюстративный характер
Самую раннюю попытку Amazon зафиксировала примерно в 2:00 UTC 21 октября 2026 года. Позже компания обнаружила несколько эксплойтов-подтверждений концепции (PoC) — примерно в день выхода исправлений. Разнообразие полезных нагрузок и использование анонимизирующей инфраструктуры, по оценке Amazon Threat Intelligence, указывали на участие нескольких групп.
Речь шла о двух ошибках в ядре PHP: CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 по CVSS. Уязвимости обнаружили исследователи Calif, OpenAI и Wiz, принадлежащей Google. Они позволяли выполнить код удалённо, без предварительной аутентификации, и затрагивали все выпуски PHP веток 7.x и 8.x. Под угрозой оказывалась любая доступная извне точка PHP-сервера: форма, страница входа или даже проверка работоспособности. В предупреждениях также фигурировала другая неисправленная уязвимость удалённого выполнения кода — CVE-2026-115560.
Обнаружить последствия атаки непросто. CrowdStrike отмечала, что при эксплуатации не нужно обходить аутентификацию, красть сессию или искать уязвимый адрес. CMS, фреймворк и плагины значения не имеют; рабочие процессы продолжают работать, а сервер возвращает HTTP 200. Поскольку код приложения не запускается, в его журналах может не появиться ничего подозрительного. Единственным следом на сервере иногда становится ошибка превышения лимита памяти в журнале веб-сервера, которую легко принять за обычный шум. По оценке CrowdStrike, у защитников почти не остаётся полезной веб-телеметрии для выявления взломанных узлов.
Публикацию планировали на 22 октября 2026 года, 14:00 UTC. Но идентификаторы CVE и PoC утекли раньше срока, и PHP Foundation перенесла раскрытие на день вперёд. ELLIO обнаружила первый PHP2Shell-запрос к своим датчикам 21 октября в 8:36 UTC, менее чем через час после того, как Chainguard выпустила сборки с исправлением. PHP Foundation заявила, что Chainguard получила патч заранее, чтобы её пользователи могли обновиться к моменту раскрытия. Публикация исправленных образов до назначенного времени, по мнению фонда, позволила атакующим изучить патч в бинарном виде, пока остальные пользователи PHP ещё ждали.
Обе ошибки затрагивали управление памятью и обработку ошибок — участки, через которые проходит почти каждый PHP-запрос. Фонд объяснил, что исправлять такие компоненты трудно: неосторожное изменение может нарушить совместимость, снизить производительность или потребовать доработки сторонних расширений.
Помимо адреса, замеченного Amazon, в сообщениях об активности фигурировали 223.184[.]166, 37.19.200[.]5, 134.209.159[.]64, 103.114.163[.]188 и 95.217.98[.]37. К 19:08 по тихоокеанскому летнему времени 21 октября WebOps заблокировала более 60 тысяч подозрительных запросов. VulnCheck обнаружила, что адреса 85.11.167[.]243 и 45.198.224[.]169 атаковали её ловушки с заголовком пользователя «php2shell-scan/109618», применяя CVE-2026-109618; адрес 109.71.252[.]97 использовал обе уязвимости. Cloudflare сообщила об атаках на клиентов и о том, что злоумышленники меняли полезные нагрузки, пытаясь обойти защиту. JFrog нашла на GitHub поддельные PoC и вредоносные шутки, которые заменяли обои жертвы на материалы для взрослых. CloudLinux выпустила исправленные пакеты ea-php52–ea-php85 и для всех версий alt-php.
Масштаб риска связан с распространённостью PHP и большим числом устаревших установок. По данным Cloudflare, PHP работает почти на 70% сайтов, включая платформы WordPress и Magento; эксплуатация ошибок могла привести к запуску вредоносного кода, утечке данных клиентов или сбоям сервисов. VulnCheck насчитала 2 608 039 доступных из интернета узлов с PHP: более 700 тысяч использовали версии от 3.x до 7.3, около 400 тысяч — 7.4, 8.0 или 8.1, а 403 тысячи — поддерживаемые ветки 8.2–8.5. Modat на 20 октября 2026 года обнаружила 4,38 миллиона интернет-доступных PHP-сервисов. Около 79%, или 3,47 миллиона, работали на неподдерживаемых ветках 4.x, 5.x, 7.x, 8.0 и 8.1. На PHP 7.3 приходилось 486 684 сервиса, на PHP 7.2 — 461 965.
Илькка Турунен, технический директор Sonatype, призвал организации определить, где именно используется PHP, назначить ответственных за устранение проблемы и установить сроки установки исправлений. Задача осложняется тем, что PHP часто поставляется вместе с операционными системами и сохраняется в старых средах. Национальный центр кибербезопасности Великобритании (NCSC) и Агентство кибербезопасности и безопасности инфраструктуры США (CISA) рекомендовали срочно установить исправления или отключить уязвимые системы. ФБР посоветовало отслеживать необычные действия PHP-процессов, в частности запуск командной оболочки и загрузку файлов, и проверить наличие средств мониторинга процессов. АНБ предупредило, что уязвимости могут дать злоумышленникам прямой доступ к файловой системе или базе данных сервера. OpenAI назвала их «одной из самых серьёзных проблем безопасности за последнее время» и выпустила инструмент Codex для проверки сайта или локального двоичного файла PHP на уязвимость PHP2Shell.
Рекомендации и меры защиты публиковали Akamai, Amazon Web Services (AWS), Arctic Wolf, Automattic, Check Point Software, Cisco и Cisco Talos, Coalition, Corelight, CyCognito, Datadog, Debian, Endor Labs, Expel, Fastly, Fortinet, Google Cloud, Hadrian, Huntress, Imperva, Intruder, Kaspersky, Microsoft Azure, NetSPI, Orca Security, OX Security, Palo Alto Networks Unit 42, Patchstack, Pentest Tools, Qualys, Rapid7, Recorded Future, ReliaQuest, Sansec, SOCRadar, Searchlight Cyber, SolarWinds, Sophos, Tanium, Tenable, Trend Micro, Ubuntu, Vercel, watchTowr, Wordfence и Zscaler. Предупреждения также выпустили Австралийское управление сигналов (ASD), Канадский центр кибербезопасности (CCCS), CERT-EU, CISA, Агентство кибербезопасности Сингапура (CSA), Агентство Европейского союза по кибербезопасности (ENISA), Федеральное ведомство по информационной безопасности Германии (BSI), индийская CERT-In, NCSC Великобритании, NCSC-NL и АНБ.
Мозес предупредил, что промежуток между выпуском патча и появлением рабочего эксплойта сокращается. Раньше после публикации PoC лишь немногие подготовленные атакующие быстро создавали собственные инструменты, а остальные ждали. Теперь анализ с помощью ИИ удешевляет превращение различий между версиями патча или технического описания в рабочий эксплойт. Поэтому действовать могут десятки групп, причём уже через несколько часов или даже минут после того, как детали становятся публичными.
