Критические дыры в PHP уже используют в реальных атаках

CheburnetИнформационная безопасность2 дня назад6 Просмотры

Главная
Информационная безопасность
Критические дыры в PHP уже используют в реальных атаках

Коротко. Две критические уязвимости PHP, получившие общее название PHP2Shell, подтверждённо использовались в реальных атаках. Исправления разработчики выпустили 21 октября 2026 года. Если ваш сайт работает на PHP, проверьте версию и обновите её.

Что за уязвимости PHP2Shell

Речь о двух ошибках с идентификаторами CVE-2026-109618 и CVE-2026-109619. Они позволяют удалённо выполнить команду на уязвимом сервере без предварительной авторизации. Атакующему достаточно отправить специально составленный запрос.

Что известно об атаках

Руководитель отдела обнаружения угроз Perplexity Адель Карими (Adel Karimi) сообщил, что ловушки (honeypot) зафиксировали успешную атаку на систему с Apache mod_php и PHP 8.4.26. Результат независимо подтвердил Маркус Хатчинс из Expel.
В ходе атаки злоумышленник извлёк около 800 КиБ данных из памяти процесса, а команда на сервере выполнилась примерно через 1,6 мс после отправки запроса.
Первые попытки Amazon Threat Intelligence заметила 17 октября, за четыре дня до выхода исправлений.
Подробности уязвимостей и часть демонстрационных эксплойтов стали публичными до выпуска патчей. Разработчики PHP заявили, что опубликованные версии не работали.

Насколько это широко

По данным, которые приводит издание, PHP используется примерно на 70% сайтов. По оценке VirusTotal, в сети доступно более 5,1 млн узлов с PHP, и около 3,8 млн из них имеют хотя бы один открытый для атаки порт.

Что делать владельцу сайта

Обновите PHP до версии с исправлениями от 21 октября. Если сайт на хостинге, проверьте версию в панели или напишите в поддержку.
Уточните у хостера, применены ли исправления на вашем сервере.
Просмотрите логи и файлы сайта на подозрительные изменения, особенно новые PHP-файлы в папках загрузок.
Смените пароли от панели хостинга, FTP и баз данных, если есть сомнения.
Сделайте копию сайта и храните её отдельно от хостинга.

Эта тема связана с недавней атакой на хостинг-провайдера Beget. Публичных доказательств связи между ними нет, подробности в материале «Кибератака на Beget: что известно и как защитить свой сайт».