17 октября команда безопасности Amazon обнаружила попытки взлома, направленные на эксплуатацию уязвимостей в языке программирования PHP. Это произошло за четыре дня до того, как было выпущено публичное исправление. Об этом сообщил CJ Moses, директор по информационной безопасности Amazon Integrated Security.
Новые уязвимости, отслеживаемые как CVE-2026-109618 и CVE-2026-109619, позволяют злоумышленникам запускать код на уязвимых серверах без необходимости входа в систему. По данным Amazon, эксплойты, демонстрирующие концепцию, циркулировали уже в 2:00 UTC 21 октября – примерно за 12 часов до официального релиза исправлений. «PHP2Shell в настоящее время широко эксплуатируется в интернете», – написал Мозес. Он также объяснил, почему окно возможностей сжимается: «Анализ с помощью ИИ делает дешевле превращение патча или рекомендации в работающий эксплойт».
Уязвимости обнаружила компания Wiz, принадлежащая Alphabet, с помощью собственного AI-инструмента, а также Gemini 4 Argon от Google и GPT-5.6 Sol от OpenAI. По данным Wiz, уязвимости восходят к PHP 5.4 и скрывались в коде более десяти лет. «Применение обновления безопасности PHP остается единственным полным способом устранения проблемы», – отметила фирма.
Организации, включая Национальный центр кибербезопасности Нидерландов, порт Роттердама, портал Overheid nl и ряд больниц, временно отключили сайты 21 октября. В 14:00 UTC того же дня PHP выпустил исправленные версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
По данным W3Techs, PHP используется примерно на 75% сайтов с опознаваемым языком программирования. При этом, по подсчетам Censys, из 2,6 млн хостов около 1,5 млн (примерно 58%) работают на версии PHP без доступного исправления – их нельзя просто пропатчить, требуется полное обновление до более новой версии.
По словам Тиффани Фаррис, временного гендиректора Drupal Association, «все серверы, использующие любую версию PHP, выпущенную за последние 20 лет, будут уязвимы». Коста Раю, соучредитель TLP:Black, предупредил, что следующая фаза может обернуться «массовым компрометированием каждого уязвимого веб-сервера в интернете».
Cloudflare сообщила, что атакующие начали менять полезную нагрузку, чтобы обходить фильтры. Для тех, кто использует PHP 8.2 или старше, рекомендуется запланировать обновление: поддержка PHP 8.2 завершится 31 декабря.
Материал подготовлен исключительно в ознакомительно-информационных целях и не является финансовым советом и рекомендацией.
Похожие статьи
