Amazon: експлуатація PHP2Shell стартувала за 4 дні до патчів
Amazon Threat Intelligence зафіксувала спроби зламу критичних уразливостей PHP за кілька днів до виходу виправлень. PHP Foundation закликає терміново оновити системи.
Amazon Threat Intelligence повідомила, що зловмисники почали випробовувати експлойти для двох критичних уразливостей у PHP ще 17 жовтня — за чотири дні до виходу патчів 21 жовтня.
Йдеться про так звані PHP2Shell-баґи CVE-2026-109618 та CVE-2026-109619, які дозволяють віддалене виконання коду на вразливих системах.
Що сталося
Головний директор із безпеки AWS CJ Moses розповів, що їхня пастка-хоніпот зафіксувала першу спробу експлуатації 17 жовтня з IP, пов’язаного з комерційною мережею анонімізації. За кілька годин до публічного релізу патчів 21 жовтня з’явилися ще кілька спроб, і вже після розкриття деталей атаки надходили з різних VPN-адрес, що натякає на участь кількох акторів.
До релізу виправлень у мережі з’явилися поодинокі докази концепції, але, за даними команди безпеки PHP, вони не були працездатними. Водночас Amazon попереджає, що вразливості «широко експлуатуються в дикій природі» і не слід вважати дату розкриття найранішою точкою атак.
Як реагувала спільнота
Патчі для PHP вийшли 21 жовтня. Напередодні ядро PHP закликало адміністраторів підготуватися до негайного оновлення, а британський NCSC порадив організаціям у Великій Британії оновити PHP-сервери негайно або тимчасово вивести їх в офлайн до встановлення патчів.
PHP Foundation каже, що працювала над виправленням із 2024 року, але реліз затримувався через ризики сумісності, потенційні DoS-сценарії та залежність від сторонніх розширень. Після витоків окремих деталей 20 жовтня команді довелося пришвидшити випуск.
Позиція PHP Foundation
Виконавча директорка фонду Елізабет Баррон повідомила, що наразі їм не відомо про успішні випадки віддаленого виконання коду, але оновлення систем є критично необхідним. Фонд також змінює процеси, щоб складні уразливості отримували швидше управлінське реагування і фіксилися оперативніше.
Масштаб ризику
PHP живить до 80% сайтів, зокрема WordPress, Drupal і Joomla. За даними VirusTotal, онлайн відстежується понад 5,1 млн PHP-хостів, з яких близько 3,8 млн мають щонайменше один відкритий порт для атак.
Що робити адміністраторам
- Негайно встановити офіційні патчі для PHP — це єдиний постійний захист, наголошує команда безпеки PHP.
- Тимчасово обмежити доступ до вразливих сервісів або вивести їх в офлайн до оновлення.
- Моніторити журнали подій на ознаки спроб експлуатації з анонімізованих IP і VPN.
Нюанс
Amazon говорить про широку експлуатацію після розкриття, тоді як PHP Foundation стверджує, що підтверджених успішних RCE-інцидентів поки немає.
