N環球 N GLOBE
Міжнародні технології

Amazon: атаки на PHP2Shell почалися за чотири дні до виправлень, і зараз широко використовуються

· N GLOBE

Amazon Threat Intelligence каже, що спроби використання критичних недоліків PHP2Shell почалися 17 жовтня, за чотири дні до надсилання виправлень, і зараз ці недоліки широко використовуються в дикій природі.

Чому це важливо

PHP забезпечує до 80% веб-сайтів у всьому світі, включаючи WordPress, Drupal і Joomla. Дві критичні вади (CVE-2026-109618 і CVE-2026-109619, CVSS 9.2) дозволяють виконувати віддалене виконання коду перед автентифікацією. Amazon підтвердив, що зловмисники не чекали публічного оприлюднення: перша спроба експлойту надійшла 17 жовтня, за чотири дні до того, як PHP Foundation надіслав виправлення 21 жовтня. Припущення, що дата розкриття знаменує початок атак, більше не вірні — захисники повинні розпочати розслідування з 17 жовтня.

Повний звіт

Команда аналізу загроз Amazon оприлюднила в дописі в блозі безпеки 22 жовтня, що її мережа приманок MadPot зафіксувала першу спробу експлойту PHP2Shell 17 жовтня, у той час як уразливості все ще перебували під ембарго (публічний реліз був о 14:00 UTC 21 жовтня). Спроба була зроблена з IP-адреси, прив’язаної до комерційної мережі анонімізації. «Залишається незрозумілим, як актор отримав інформацію про експлойт до її розголошення», — сказав CJ Moses, головний спеціаліст з інформаційної безпеки Amazon.

21 жовтня Amazon побачила кілька експлойтів для підтвердження концепції, перший приблизно за 12 годин до випуску виправлення. Корисне навантаження та анонімна інфраструктура відрізнялися, що вказує на кількох різних акторів. За кілька годин після доставки виправлення на датчиках Amazon було ввімкнено нові експлойти. Зараз Amazon описує PHP2Shell як такий, що «широко використовується в дикій природі», а спроби Cloudflare досягли мільйонів.

Того ж дня Dataminr заявив, що спостережувана активність залишається обмеженою скануванням, зйомкою відбитків пальців і неробочими експлойтами, без відомих компромісів, але робочі експлойти — це лише питання часу.

Фон

Недоліки стосуються кожного випуску PHP 7.x і 8.x і були виявлені дослідниками з Каліфорнії, OpenAI і Wiz, що належить Google. Код із помилками сидів у PHP роками, поки серпневий аудит, фінансований OpenAI, не використав модель штучного інтелекту, щоб показати, що його можна практично використовувати — походження назви «PHP2Shell». Виправлені випуски: PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35.

Порада Amazon: оновлення PHP є єдиним повним виправленням; розслідування мають початися з 17 жовтня; системи, які ще не можуть виправити, можуть розглянути питання про блокування завантаження файлів із кількома частинами після перевірки того, що це порушує.

💬 Comments

No comments yet. Be the first!