Атаки на PHP начались за 4 дня до выхода экстренных исправлений

PHP выпустил исправления 21 октября для уязвимостей CVE-2026-109618 и CVE-2026-109619, которые исследователи объединили под названием PHP2Shell. Каждая получила оценку 9,2 из 10 по шкале CVSS v4.0. Ошибки могут позволить злоумышленнику выполнить свой код на сервере без учётной записи. Уязвимости находятся в самом PHP, поэтому обновление кода сайта или приложения не заменяет обновление серверной среды.

AWS обнаружила попытку атаки от 17 октября только после выхода патчей, когда аналитики проверили прежние обращения к серверу-приманке. По данным компании, запрос пришёл с IP-адреса, связанного с коммерческой сетью для анонимизации трафика. Неизвестно, откуда отправитель получил сведения об уязвимостях до их раскрытия и сработала ли попытка. В часы перед публикацией исправлений приманки AWS получили и другие запросы, скрытые через разных провайдеров.

После выхода исправлений об активности сообщили и другие компании. Cloudflare наблюдала атакующий трафик у своих клиентов и сообщила, что отправители меняли запросы, пытаясь обойти защитные правила. Исследователи watchTowr заявили о попытках использовать обе уязвимости. Однако попытка атаки не подтверждает успешный взлом: Huntress не обнаружила признаков эксплуатации на доступных ей клиентских серверах.

Уязвимости PHP: какие серверы затронуты и что обновить

Уязвимости затрагивают PHP, который обрабатывает веб-запросы в разных конфигурациях, включая Apache mod_php, PHP-FPM, php-cgi, FrankenPHP и LiteSpeed. Разработчики PHP считают mod_php наиболее уязвимой конфигурацией: продемонстрированная атака срабатывает после одного запроса без авторизации, ещё до выполнения кода приложения. Для PHP-FPM поведение отличается, но исследователи также показали путь к выполнению кода через одну из двух ошибок. Кроме того, атакующий может прочитать память рабочего процесса PHP, где могут находиться пароли, токены и другие данные запросов.

Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Администраторам нужно обновить именно среду PHP, через которую обслуживаются веб-запросы, а затем перезапустить Apache, PHP-FPM и долго работающие процессы PHP. Установка новой версии WordPress или Laravel сама по себе серверный PHP не обновит. Для старых веток 7.4, 8.0 и 8.1 команда безопасности опубликовала переносы исправлений в исходный код; пакет поставщика при этом может содержать патч, сохраняя прежний номер версии.

Разработчики PHP называют обновление единственным способом полностью закрыть обе ошибки. Настройки сервера способны ограничить отдельные пути атаки, но не устраняют уязвимости целиком. После установки патча администраторам советуют проверить ограничения памяти приложения: исправление добавляет жёсткий предел, при достижении которого процесс завершается. Тем, кто подозревает атаку до обновления, исследователи предлагают проверить необычные запросы, повторяющиеся ответы HTTP 500 и необъяснимые перезапуски процессов PHP.

Почему исправления выпустили раньше плана

Публикацию первоначально готовили на 22 октября, но сведения об ошибках появились раньше. По сообщению PHP Foundation, 20 октября компания Calif по ошибке разместила видео с работающей демонстрацией атаки. На следующий день, ещё до общего выхода патчей, Chainguard опубликовала готовые образы с исправлением. Пользователи могли изучить изменения в коде, пока остальные ожидали обновления. Команда PHP перенесла выпуск на 21 октября.

История первой ошибки началась задолго до октябрьского выпуска. PHP Foundation сообщила, что разработчик заметил признаки проблемы с нехваткой памяти во время внешнего аудита в 2024 году. Тогда команда допускала возможность атаки, но не нашла конкретного способа выполнить через неё код. Работа над исправлением затянулась: предложенные варианты могли нарушить совместимость, создать условия для отказа в обслуживании или потребовать изменений в сторонних расширениях.

Позднее исследователи Calif, OpenAI и Wiz показали работающие способы эксплуатации, используя инструменты ИИ в ходе изучения ошибок. После этого разработчики PHP и исследователи совместно готовили исправления и раскрытие сведений о них. PHP Foundation назвала задержку с решением проблемы сбоем в собственном процессе принятия решений и сообщила, что изменила работу с вопросами безопасности, добавив сотрудников и инструменты.

Из-за риска некоторые организации временно отключили сервисы до установки обновлений. Сервис для управления персоналом BambooHR сообщил о приостановке работы в США, Канаде и Ирландии и предупредил о перебоях с начислением зарплаты. В Нидерландах также отключались государственные и образовательные сайты. Сообщений о том, что эти отключения стали следствием подтверждённого взлома, не было.

В прошлом материале сообщалось, что PHP 21 октября выпустила экстренные исправления двух уязвимостей. Теперь история получила продолжение: появились данные о попытке эксплуатации до выхода патчей.