PHP2Shell: атаки начались за 4 дня до раскрытия уязвимостей

Атаки на PHP2Shell начались за четыре дня до раскрытия уязвимостей

Amazon Threat Intelligence зафиксировала попытки эксплуатации двух критических уязвимостей в PHP за четыре дня до их публичного раскрытия. Инцидент подчеркивает риск использования уязвимостей злоумышленниками до выхода исправлений.

PHP2Shell позволяет удалённо выполнять код на сервере

PHP2Shell представляет собой две критические уязвимости в среде выполнения PHP. Они позволяют неаутентифицированному удалённому злоумышленнику выполнить произвольный код на уязвимом сервере. Для этого атакующий отправляет специально сформированный веб-запрос. Уязвимости затрагивают саму среду PHP, а не конкретные веб-приложения. Обновление WordPress или Drupal не устранит проблему, если сервер продолжает использовать уязвимую версию PHP.

Исправления доступны для версий PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35

PHP выпустила исправления для уязвимостей 21 октября. Обновлённые версии включают PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. AWS заявляет об отсутствии конфигурационных обходных путей, полностью устраняющих обе уязвимости. Организациям следует как можно скорее установить исправленные версии PHP. Необходимо проверить, предоставили ли хостинг-провайдер, поставщик операционной системы или образ контейнера необходимые обновления. Для систем, которые невозможно пропатчить немедленно, AWS предлагает рассмотреть возможность блокировки многокомпонентных загрузок файлов (multipart file uploads). Администраторы должны оценить влияние этой меры на свои приложения перед её применением. Блокировка не заменяет установку исправлений.

Проверяйте логи с 17 октября и ищите подозрительную активность

AWS рекомендует проверять журналы веб-серверов на наличие подозрительных запросов. Особое внимание следует уделить POST-запросам, содержащим строку PHP_SESSION_UPLOAD_PROGRESS в данных многокомпонентной формы. Командам безопасности также стоит искать неожиданные процессы, запущенные PHP, и необъяснимые изменения файлов на серверах веб-приложений. Эти проверки важны, поскольку атака может оставить следы, выходящие за рамки исходного HTTP-запроса. Неожиданные интерпретаторы команд, новые файлы или необычная активность процессов помогут следователям определить, удалось ли злоумышленнику продвинуться дальше первоначального сканирования уязвимого конечного узла. AWS обнаружила активность, связанную с CVE-2026-109618 и CVE-2026-109619, начиная с 17 октября 2026 года. Организациям следует анализировать журналы и активность с этой даты, включая подозрительное поведение, которое системы обнаружения могут ещё не распознавать. AWS опубликовала шесть IP-адресов, связанных с зафиксированной активностью: 103.216.220.92, 31.223.184.166, 37.19.200.5, 134.209.159.64, 103.114.163.188, 95.217.98.37. Некоторые из этих адресов принадлежат общей инфраструктуре анонимизации, поэтому следует исследовать совпадения событий, а не блокировать адреса автоматически. Cloudflare сообщила о развёртывании защит веб-приложения файрвола до публичного раскрытия и уже наблюдала трафик атак на своих клиентов, включая попытки изменить полезные нагрузки для обхода защит. Файрвол может снизить риски, но не заменяет установку исправлений. Защитники должны сочетать обновлённое ПО с анализом журналов, мониторингом процессов и проверкой на наличие подозрительных изменений файлов.