CISA добавила уязвимости PHP2Shell в каталог KEV из-за удалённого выполнения кода

CISA внесла уязвимости PHP2Shell в каталог KEV

Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило уязвимости PHP2Shell в свой каталог известных уязвимостей, которые активно эксплуатируются (KEV). Это произошло из-за возможности удалённого выполнения кода.

PHP2Shell позволяет удалённо выполнять код без аутентификации

Уязвимости CVE-2026-109618 и CVE-2026-109619 относятся к категории критических с оценкой CVSS 9.2. Они затрагивают все версии PHP, обрабатывающие веб-запросы. Уязвимый код присутствует в самом движке PHP, начиная с версии 5.4, выпущенной в 2012 году. Злоумышленники могут использовать эти недостатки для удалённого выполнения произвольного кода, отправляя специально сформированные HTTP-запросы. Для эксплуатации не требуется аутентификация.

Обновление до версий с исправлениями или установка плагина безопасности

PHP выпустила экстренные исправления для уязвимостей 21 октября. CISA предписала федеральным агентствам устранить эти уязвимости до 29 октября 2026 года. Организациям частного сектора рекомендуется также проанализировать каталог KEV и устранить соответствующие уязвимости в своей инфраструктуре. Уязвимости затрагивают все версии PHP, обрабатывающие веб-запросы, начиная с версии 5.4.

Устранить уязвимости до 29 октября 2026 года

После публикации информации об уязвимостях начались массовые попытки их эксплуатации. Исследователи из Cloudflare зафиксировали десятки тысяч атак в первые 45 минут, сотни тысяч — за два часа и миллионы к 22 октября. Группа, связанная с Северной Кореей, выявила 216 хостов, которые могут оставаться уязвимыми. Операторы используют частный I2P-канал для координации и проверки систем. Они сообщают о 216 хостах, которые не были обновлены или частично защищены. Сканирование проводится медленно, машины ротируются, а узлы, демонстрирующие фильтрацию или ограничение скорости, выводятся из эксплуатации. CISA требует от федеральных агентств устранить уязвимости к 29 октября 2026 года.