Безопасность 26 октября 2026, 21:30 МСК

Уязвимости PHP2Shell в PHP использованы в реальных успешных атаках

Исследователи подтвердили успешную эксплуатацию двух критических уязвимостей PHP2Shell, позволяющих удалённо выполнять команды на серверах без авторизации.

Ранее фиксировались лишь попытки атак. Теперь успех подтвердил Адель Карими из Perplexity: его серверы-ловушки зафиксировали атаку на систему с Apache mod_php и PHP 8.4.26. Злоумышленник получил около 800 КиБ данных из памяти процесса и использовал извлечённый адрес функции на следующем этапе. Сервер выполнил команду оболочки примерно через 1,6 мс после отправки последнего байта запроса. Результаты подтвердил и Маркус Хатчинс из Expel.

Уязвимости CVE-2026-109618 и CVE-2026-109619 разработчики PHP исправили 21 октября. До выхода обновлений сведения и некоторые демонстрационные эксплойты оказались в открытом доступе, хотя разработчики утверждали, что они не работали. Amazon Threat Intelligence заметила первые попытки атак 17 октября, за четыре дня до исправлений.

PHP используется примерно на 70% сайтов. По оценкам VirusTotal, в открытом доступе находятся более 5,1 млн хостов с PHP, около 3,8 млн из них имеют хотя бы один доступный для атак порт.

• CVE-2026-109618 и CVE-2026-109619, исправления вышли 21 октября
• Более 5,1 млн хостов с PHP в открытом доступе