Изследователи потвърдиха успешното експлоатиране на двете критични уязвимости PHP2Shell, които позволяват отдалечено изпълнение на команди на уязвими сървъри без предварителна авторизация. По-рано специалистите бяха регистрирали опити за атаки, но не можеха да потвърдят, че злонамерени лица са успели да постигнат изпълнение на злонамерен код.
Потвърждението е получено от Адел Карими, ръководител на отдела за откриване на заплахи и реагиране при инциденти в Perplexity. Неговите сървъри-примамки са регистрирали успешна атака срещу система с Apache mod_php и PHP 8.4.26. По време на атаката злоумишленикът е извлякъл около 800 KiB (кибибайта) данни от паметта на процеса, след което е използвал извлечения адрес на функцията, за да подготви следващия етап от атаката.
‼️ wow, confirmed more from the same IP, plus a new IP with a different payload that might be a different actor… and this is showing up in multiple regions now.
probably better not to burn the honeypots with a full report just yet. if i know you, DM me for the full report. will…
След изпращането на последния байт от съответната заявка сървърът e изпълнил командата на шела приблизително след 1,6 милисекунди. Резултатите бяха потвърдени и от изследователя от компанията Expel Маркъс Хътчинс, който проследяваше съобщенията за успешна експлоатация на PHP2Shell.
Уязвимостите CVE-2026-109618 и CVE-2026-109619, обединени под името PHP2Shell, бяха отстранени от екипа разработчици на PHP на 21 октомври. Преди излизането на актуализациите информация за уязвимостите и някои демонстрационни експлойти се появиха в отворен достъп, но разработчиците твърдяха, че публикуваните варианти не са работели.
Компаниите Cloudflare, Hadrian, watchTowr, Previdian и Patchstack също съобщиха за опити за атаки, които към този момент не са довели до успешна експлоатация. Специалистите от Amazon Threat Intelligence са открили първите опити за атаки още на 17 октомври – четири дни преди пускането на поправките. PHP се използва на около 70% от сайтовете в интернет. Според оценки на VirusTotal в отворен достъп има над 5,1 милиона хоста с PHP, като около 3,8 милиона от тях имат поне един порт, достъпен за потенциални атаки. Ето защо към момента успешната експлоатация на PHP2Shell представлява заплаха за значителен брой сървъри, работещи с тази технология.