Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило две критические уязвимости PHP, известные под общим названием PHP2Shell, в каталог активно эксплуатируемых уязвимостей.
Предупреждение CISA от 26 октября: уязвимости PHP CVE-2026-109618 и CVE-2026-109619 добавлены в каталог KEV. Изображение: CISA
Злоумышленники без привилегий могут использовать эти уязвимости – CVE-2026-109618 и CVE-2026-109619 – для удаленного выполнения кода (RCE) в необновленных системах. Такие атаки отличаются высокой сложностью.
Команда безопасности PHP исправила обе уязвимости в среду, 21 октября. За день до этого она призвала специалистов по безопасности установить обновления сразу после их выхода.
Хотя сведения об уязвимостях PHP2Shell, включая идентификаторы CVE и меры защиты, переданные операторам критической инфраструктуры, попали в открытый доступ, а некоторые демонстрационные эксплойты (PoC) были опубликованы еще до выхода исправлений, команда безопасности PHP заявила, что ни один из них не работал.
Несколько компаний в сфере кибербезопасности, в том числе Cloudflare, Amazon, Hadrian, watchTowr, Previdian и Patchstack, также выявили массовые попытки эксплуатации до публичного раскрытия уязвимостей. Однако все они оценили эти попытки как неудачные.
Исследователи Amazon Threat Intelligence также сообщили, что злоумышленники начали атаковать уязвимости PHP2Shell за четыре дня до выхода исправлений.
Федеральным ведомствам необходимо установить исправления до четверга
26 октября CISA добавило уязвимости в каталог известных эксплуатируемых уязвимостей (KEV) и обязало федеральные гражданские ведомства исполнительной власти США (FCEB) защитить свои системы до четверга, 29 октября, в соответствии с обязательной операционной директивой 26-04.
Агентство предупредило:
Уязвимости такого типа часто используются злоумышленниками для атак и представляют значительный риск для федеральных информационных систем.
Хотя BOD 26-04 распространяется только на ведомства FCEB, CISA рекомендует всем организациям применять подход к управлению уязвимостями с учетом рисков и в первую очередь устранять уязвимости из каталога KEV.
CISA пока не раскрыло дополнительные сведения о текущих атаках с использованием PHP2Shell. Однако в минувшие выходные руководитель направления обнаружения угроз и реагирования в Perplexity Адель Карими (Adel Karimi) впервые подтвердил эксплуатацию этих уязвимостей в реальных атаках. Его системы-ловушки зафиксировали свидетельства удаленного выполнения кода на сервере Apache с модулем mod_php и PHP 8.4.26.
В пятницу команда безопасности PHP также опубликовала временные меры защиты от новой уязвимости удаленного выполнения кода CVE-2026-115560, для которой пока нет исправления. Ее эксплуатация возможна в системах «с необычным сочетанием настроек и кода приложения».
На PHP работают около 70% всех сайтов. По оценкам VirusTotal, в интернете доступны более 5,1 млн хостов с PHP, причем примерно у 3,8 млн из них есть хотя бы один порт, открытый для атак.
