Дослідники кібербезпеки підтвердили, що дві критичні вразливості в мові PHP, об'єднані під загальною назвою PHP2Shell, почали активно експлуатуватися в реальних атаках. Йдеться про помилки CVE-2026-1026-109618 та CVE-2026-109619, які дозволяють зловмиснику віддалено виконувати довільні команди на вразливому сервері без будь-якої попередньої авторизації. До недавнього часу фахівці фіксували лише спроби атак, проте не мали доказів того, що шкідливий код справді виконувався на цільових системах. Ситуація змінилася після того, як незалежні дослідники зафіксували завершені ланцюжки експлуатації на живих серверах.

Як виглядала підтверджена атака

Перше публічне підтвердження успішної експлуатації отримав Адель Карімі (Adel Karimi), керівник напряму виявлення загроз та реагування на інциденти в компанії Perplexity. Його сервери-пастки (honeypots) зафіксували завершену атаку на систему, що працює під управлінням Apache з модулем mod_php та версією PHP 8.4.26. Під час експлуатації зловмисник витягнув із пам'яті процесу близько 800 кілобайтів даних, після чого використав отриману адресу функції для підготовки наступного етапу атаки. За даними Карімі, після надсилання останнього байта відповідного HTTP-запиту сервер виконав команду оболонки приблизно через 1,6 мілісекунди. Аналогічні результати підтвердив Маркус Хатчинс (Marcus Hutchins), дослідник компанії Expel, який паралельно відстежував повідомлення про успішну експлуатацію PHP2Shell у відкритих каналах.

Хронологія: від публікації експлойтів до виправлення

Команда розробників PHP випустила виправлення для обох вразливостей 21 жовтня 2026 року. До цього моменту відомості про помилки та низка демонстраційних експлойтів уже перебували у відкритому доступі. При цьому розробники наголошували, що опубліковані на той момент варіанти експлойтів не призводили до успішного виконання коду. Проте компанії Cloudflare, Hadrian, watchTowr, Previdian і Patchstack повідомляли про масові спроби атак, які на той момент не завершувалися експлуатацією. Фахівці Amazon Threat Intelligence зафіксували перші спроби атак ще 17 жовтня — за чотири дні до виходу офіційних оновлень. Таким чином, між появою публічної інформації про вразливості та випуском патчів існувало вікно вразливості, протягом якого зловмисники, ймовірно, допрацьовували робочі експлойти.

Масштаб потенційного збитку

PHP залишається однією з найпоширеніших серверних технологій у світі: за різними оцінками, на цій платформі працює близько 70 % усіх сайтів в інтернеті. За даними VirusTotal, у відкритому доступі виявлено понад 5,1 мільйона хостів із встановленим PHP, причому близько 3,8 мільйона з них мають щонайменше один порт, доступний для зовнішнього сканування та потенційних атак. Це означає, що успішна експлуатація PHP2Shell становить безпосередню загрозу для мільйонів серверів, не оновлених до виправлених версій. Для адміністраторів, які не встигли встановити патч до 21 жовтня, критично важливо провести аудит журналів доступу та перевірити наявність ознак несанкціонованого виконання команд.

Що робити адміністраторам і розробникам

Першочергова рекомендація — переконатися, що всі сервери оновлені до версій PHP, які містять виправлення CVE-2026-109618 та CVE-2026-109619. Для систем, де оновлення неможливе в найкоротші терміни, слід обмежити доступ до вразливих портів на рівні файрвола та тимчасово вимкнути модуль mod_php, якщо він не є єдиним способом роботи програми. Крім того, рекомендується увімкнути посилений моніторинг журналів вебсервера на предмет аномальних запитів, характерних для експлуатації PHP2Shell, і перевірити цілісність файлів на предмет впровадження вебшеллів. Дослідники нагадують, що наявність публічних експлойтів та підтверджена масова експлуатація роблять відкладання оновлення неприйнятним ризиком.