PHP2Shell: исследователь подтвердил удалённый запуск кода на PHP 8.4.26

Речь идёт о двух критических уязвимостях удалённого выполнения кода (RCE), CVE-2026-109618 и CVE-2026-109619, которые отслеживают под общим названием PHP2Shell. Карими описал зафиксированную цепочку атаки: сервер отправил ответ с расшифрованной копией cookie объёмом 800 КиБ, а адрес функции, вычисленный на основе этих данных и смещений из общедоступного эксплойта, появился в следующем запросе на выполнение кода.

Карими подчеркнул, что в его случае удалось подтвердить именно выполнение кода, а не просто сбой сервера с последующим запуском подозрительного процесса:

«Это подтверждённое удалённое выполнение кода с утечкой данных из памяти, а не просто сбой, за которым последовал подозрительный процесс. В ответе содержалась расшифрованная копия cookie объёмом 800 КиБ, а адрес функции, полученный из этих данных с помощью смещений из общедоступного эксплойта, появился в следующей полезной нагрузке.»

Адель Карими, Perplexity

По наблюдениям исследователя, клиент получил ответ целиком, а команда оболочки выполнилась примерно через 1,6 миллисекунды после того, как сервер зафиксировал последний байт запроса на выполнение. Маркус Хатчинс, исследователь угроз из Expel, который следил за сообщениями об успешных атаках PHP2Shell, также подтвердил выводы Карими.

Хатчинс назвал эти данные наиболее убедительным из виденных им подтверждений эксплуатации PHP2Shell в реальных атаках и отметил подробный технический разбор попытки против сервера Apache с mod_php и PHP 8.4.26.

Атаки PHP2Shell: что было известно раньше

Команда безопасности PHP выпустила исправления для двух уязвимостей в среду, 21 октября. За день до этого разработчики попросили администраторов подготовиться к установке обновлений сразу после их выхода. До публикации патчей в сети появились сведения об уязвимостях, включая их идентификаторы CVE и рекомендации по снижению риска, переданные некоторым операторам критической инфраструктуры. Также публиковались демонстрационные эксплойты, однако команда PHP заявляла, что они не работают.

Попытки атаковать уязвимости до раскрытия информации заметили несколько компаний, занимающихся кибербезопасностью, в том числе Cloudflare, Hadrian, watchTowr, Previdian и Patchstack. Все они оценили зафиксированные попытки как неуспешные. Исследователи Amazon Threat Intelligence тоже сообщили о нацеленных на PHP2Shell атаках за четыре дня до выпуска исправлений.

По данным команды Dataminr Threat Research and Cyber Engineering (TRACE), до результатов Карими активность ограничивалась сканированием, сбором сведений о системах и применением неработающих эксплойтов. Подтверждённых взломов тогда не было. Карими зафиксировал выполнение команд и утечку данных из памяти на конкретной конфигурации PHP.

Ещё одна уязвимость PHP пока без исправления

В пятницу команда безопасности PHP также сообщила о другой уязвимости удалённого выполнения кода, CVE-2026-115560. Для неё пока нет патча. По описанию разработчиков, уязвимость затрагивает системы с необычным сочетанием настроек и кода приложения.

До выпуска исправления разработчики рекомендуют администраторам отключить обработку прогресса загрузки файлов в сессиях: для этого нужно установить параметр session.upload_progress.enabled=0. Эту же меру защиты советовали применять ещё до выхода обновлений для PHP2Shell.

PHP используют примерно 70% сайтов в интернете. По недавним оценкам VirusTotal, онлайн доступны более 5,1 млн хостов на PHP, и примерно у 3,8 млн из них открыт как минимум один порт, потенциально доступный для атак.

Ранее аналитики AWS обнаружили раннюю попытку эксплуатации PHP2Shell, но подтверждённых сообщений о взломе конкретного сервера тогда не было. Подтверждение Карими стало новым свидетельством успешного выполнения кода, а не только попытки атаки.