N環球 N GLOBE
Международные технологии

Amazon: атаки PHP2Shell начались за четыре дня до выхода патчей и теперь широко используются

· N GLOBE

Amazon Threat Intelligence сообщает, что попытки использования критических уязвимостей PHP2Shell начались 17 октября, за четыре дня до выпуска исправлений, и в настоящее время эти недостатки широко используются.

Почему это важно

PHP поддерживает до 80% веб-сайтов по всему миру, включая WordPress, Drupal и Joomla. Две критические уязвимости (CVE-2026-109618 и CVE-2026-109619, CVSS 9.2) позволяют удаленно выполнять код перед аутентификацией. Amazon подтвердила, что злоумышленники не стали ждать публичного раскрытия: первая попытка использования эксплойта была предпринята 17 октября, за четыре дня до того, как PHP Foundation выпустила исправления 21 октября. Предположение о том, что дата раскрытия отмечает начало атак, больше не соответствует действительности — защитники должны начать свои расследования с 17 октября.

Полный отчет

Команда Amazon по анализу угроз сообщила в своем блоге по безопасности от 22 октября, что ее сеть-приманка MadPot зафиксировала первую попытку эксплойта PHP2Shell 17 октября, в то время как уязвимости все еще находились под эмбарго (публичный релиз состоялся в 14:00 UTC 21 октября). Попытка была предпринята с IP-адреса, привязанного к коммерческой сети анонимизации. «Остается неясным, как злоумышленник получил информацию об эксплойтах до ее раскрытия», — сказал Си Джей Мозес, директор по информационной безопасности Amazon.

21 октября компания Amazon обнаружила несколько эксплойтов для проверки концепции, самый ранний из которых произошел примерно за 12 часов до выпуска патча. Полезная нагрузка и анонимная инфраструктура различались, что позволяет предположить наличие нескольких разных участников. Через несколько часов после выхода патча на сенсорах Amazon были обнаружены новые эксплойты. Amazon теперь описывает PHP2Shell как «широко эксплуатируемый в дикой природе», а количество попыток, замеченных Cloudflare, достигло миллионов.

В тот же день Dataminr заявил, что наблюдаемая активность по-прежнему ограничивается сканированием, снятием отпечатков пальцев и неработающими эксплойтами без каких-либо известных компромиссов, но работающие эксплойты — это лишь вопрос времени.

Фон

Эти недостатки затрагивают каждую версию PHP 7.x и 8.x и были обнаружены исследователями из Калифорнии, OpenAI и Wiz, принадлежащей Google. Код с ошибками находился в PHP в течение многих лет, пока августовский аудит, финансируемый OpenAI, не использовал модель искусственного интеллекта, чтобы показать, что его практически можно использовать — отсюда и название «PHP2Shell». Исправлены выпуски: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

Совет Amazon: обновление PHP — единственное полное исправление ситуации; расследования должны начаться с 17 октября; системы, которые еще не могут исправлять, могут рассмотреть возможность блокировки загрузки составных файлов после проверки того, что это ломает.

💬 Comments

No comments yet. Be the first!