Исследователи кибербезопасности подтвердили, что две критические уязвимости в языке PHP, объединённые под общим названием PHP2Shell, начали активно эксплуатироваться в реальных атаках. Речь идёт об ошибках CVE-2026-1026-109618 и CVE-2026-109619, позволяющих злоумышленнику удалённо выполнять произвольные команды на уязвимом сервере без какой-либо предварительной авторизации. До недавнего времени специалисты фиксировали лишь попытки атак, однако не располагали доказательствами того, что вредоносный код действительно выполнялся на целевых системах. Ситуация изменилась после того, как независимые исследователи зафиксировали завершённые цепочки эксплуатации на живых серверах.
Как выглядела подтверждённая атака
Первое публичное подтверждение успешной эксплуатации получил Адель Карими (Adel Karimi), руководитель направления обнаружения угроз и реагирования на инциденты в компании Perplexity. Его серверы-ловушки (honeypots) зафиксировали завершённую атаку на систему, работающую под управлением Apache с модулем mod_php и версией PHP 8.4.26. В ходе эксплуатации злоумышленник извлёк из памяти процесса порядка 800 кибайт данных, после чего использовал полученный адрес функции для подготовки следующего этапа атаки. По данным Карими, после отправки последнего байта соответствующего HTTP-запроса сервер выполнил команду оболочки примерно через 1,6 миллисекунды. Аналогичные результаты подтвердил Маркус Хатчинс (Marcus Hutchins), исследователь компании Expel, который параллельно отслеживал сообщения об успешной эксплуатации PHP2Shell в открытых каналах.
Хронология: от публикации эксплойтов до исправления
Команда разработчиков PHP выпустила исправления для обеих уязвимостей 21 октября 2026 года. До этого момента сведения об ошибках и ряд демонстрационных эксплойтов уже находились в открытом доступе. При этом разработчики подчёркивали, что опубликованные на тот момент варианты эксплойтов не приводили к успешному выполнению кода. Тем не менее компании Cloudflare, Hadrian, watchTowr, Previdian и Patchstack сообщали о массовых попытках атак, которые на тот момент не завершались эксплуатацией. Специалисты Amazon Threat Intelligence зафиксировали первые попытки атак ещё 17 октября — за четыре дня до выхода официальных обновлений. Таким образом, между появлением публичной информации об уязвимостях и выпуском патчей существовало окно уязвимости, в течение которого злоумышленники, вероятно, дорабатывали рабочие эксплойты.
Масштаб потенциального ущерба
PHP остаётся одной из наиболее распространённых серверных технологий в мире: по различным оценкам, на этой платформе работает порядка 70 % всех сайтов в интернете. По данным VirusTotal, в открытом доступе обнаружено более 5,1 миллиона хостов с установленным PHP, причём около 3,8 миллиона из них имеют как минимум один порт, доступный для внешнего сканирования и потенциальных атак. Это означает, что успешная эксплуатация PHP2Shell представляет непосредственную угрозу для миллионов серверов, не обновлённых до исправленных версий. Для администраторов, не успевших установить патч до 21 октября, критически важно провести аудит журналов доступа и проверить наличие признаков несанкционированного выполнения команд.
Что делать администраторам и разработчикам
Первоочередная рекомендация — убедиться, что все серверы обновлены до версий PHP, содержащих исправления CVE-2026-109618 и CVE-2026-109619. Для систем, где обновление невозможно в кратчайшие сроки, следует ограничить доступ к уязвимым портам на уровне файрвола и временно отключить модуль mod_php, если он не является единственным способом работы приложения. Кроме того, рекомендуется включить усиленный мониторинг журналов веб-сервера на предмет аномальных запросов, характерных для эксплуатации PHP2Shell, и проверить целостность файлов на предмет внедрения веб-шеллов. Исследователи напоминают, что наличие публичных эксплойтов и подтверждённая массовая эксплуатация делают откладывание обновления неприемлемым риском.
