Некој се обидел да ги искористи ранливостите во PHP2Shell 4 дена пред нивното јавно објавување

Објавено: 22.10.2026

Тимот за разузнавање за закани на Amazon во средата соопшти дека на 17 октомври 2026 година открил обид за искористување на новообјавените ранливости PHP2Shell против неговата услуга за безбедносни стапици (honeypot) MadPot. Ова се случува во период кога, по објавувањето на безбедносните закрпи, ранливостите почнуваат масовно да се искористуваат во реални напади.

„Обидот за искористување потекнуваше од IP-адреса поврзана со комерцијална мрежа за анонимизација“, изјави CJ Moses, директор за информациска безбедност (CISO) во Amazon Integrated Security, во објава споделена со The Hacker News.

„Додека ранливоста беше под ембарго, насочувањето кон безбедносна стапица од анонимизирана IP-адреса укажува дека активноста ја извршил злонамерен актер. Сепак, сè уште не е јасно како тој дошол до информациите за експлоатацијата пред нивното јавно објавување.“

Според Amazon, обидот бил забележан од IP-адресата „103.216.220[.]92“, која според геолокацијата се наоѓа во Австралија.

Активноста е поврзана со две ранливости што го засегаат основниот код на PHP, а двете имаат оценка 9,2 според системот за оценување CVSS. Ранливостите се означени како CVE-2026-109618 и CVE-2026-109619, а ги откриле истражувачи од Calif, OpenAI и Wiz, компанија во сопственост на Google.

Овие ранливости може да се злоупотребат за далечинско извршување код на засегнатите системи, без претходна автентикација.

Недостатоците се присутни во сите изданија на PHP од сериите 7.x и 8.x и претставуваат ризик за секоја достапна PHP крајна точка на засегнатиот сервер, вклучувајќи статични формулари, страници за најавување и проверки на исправноста на системот. Според CrowdStrike, нападот со искористување на овие ранливости речиси и не остава дигитални траги.

„Нема автентикација што треба да се заобиколи, нема сесија што треба да се украде и нема ранлива крајна точка што треба да се открие“, соопшти CrowdStrike. „Изложеноста не зависи од CMS-платформата, рамката (framework) или додатоците што се користат.“

„Процесите на работниците (worker processes) остануваат стабилни, одговорите враќаат HTTP 200, а логовите на апликацијата не бележат никакви аномалии, бидејќи воопшто не бил извршен код од апликацијата. Единствената трага на серверот е една фатална грешка поради ограничување на меморијата во логот за грешки на веб-серверот. Таа обично се отфрла како неважен шум, поради што безбедносните тимови остануваат без корисни телеметриски податоци од веб-серверот за да ги идентификуваат компромитираните крајни точки.“

Првично, координираното објавување на информациите било закажано за 22 октомври 2026 година, во 14:00 часот UTC. Сепак, деталите за CVE-идентификаторите и експлоатацијата со доказ за концепт (PoC) протекоа предвреме, што ја натера PHP Foundation да го помести објавувањето еден ден порано.

„Двата проблеми се наоѓаат во делови од PHP низ кои поминува речиси секое барање: управувањето со меморијата и обработката на грешки“, соопшти PHP Foundation.

„Нивната централна улога во PHP е причината поради која двете ранливости се сериозни, но и тешки за поправка без нарушување на компатибилноста, намалување на перформансите или наметнување промени врз широкиот екосистем на екстензии од трети страни.“

Amazon соопшти дека открил повеќе PoC-експлоатации за PHP2Shell во периодот кога биле објавени безбедносните поправки. Најраниот обид бил забележан околу 21 октомври 2026 година, во 02:00 часот UTC.

Во следните шест часа биле забележани дополнителни обиди за искористување на ранливостите од анонимизирана инфраструктура. Разновидноста на малициозните податоци (payloads) и употребата на различна инфраструктура за анонимизација укажуваат дека се вклучени повеќе злонамерни актери, соопшти тимот за разузнавање за закани на Amazon.

Обидите биле забележани од следниве IP-адреси на 21 октомври 2026 година:

31.223.184[.]166
37.19.200[.]5
134.209.159[.]64
103.114.163[.]188
95.217.98[.]37

Според ELLIO, првото барање PHP2Shell насочено кон нивните сензори било забележано на 21 октомври 2026 година, во 08:36 часот UTC, помалку од еден час откако „Chainguard еднострано го прекрши ембаргото и објави изработени системски слики што ја содржеа поправката“.

„Chainguard ја доби закрпата однапред за нејзините корисници да можат да ги ажурираат системите веднаш штом ранливостите бидат јавно објавени“, соопшти PHP Foundation.

„Секој напаѓач сега можеше да ја анализира поправката во бинарна форма, додека сите други корисници на PHP сè уште го чекаа објавувањето. Со ова беа занемарени повеќенеделните напори на многу страни за координирано објавување на информациите.“

Сериозноста на ранливостите предизвика предупредувања од меѓународни агенции за сајбер-безбедност, како што се Националниот центар за сајбер-безбедност на Обединетото Кралство (NCSC) и Американската агенција за сајбер-безбедност и безбедност на инфраструктурата (CISA). Тие ги повикаа организациите што е можно побрзо да ги применат поправките или да размислат за привремено исклучување на засегнатите системи од интернет.

„Следете ги веб-серверите за сомнителни активности, вклучувајќи неочекувано стартување командни школки од PHP-процеси или преземање датотеки“, соопшти Федералното истражно биро на САД (FBI) во објава на X. „Обезбедете соодветни можности за следење на процесите за полесно да се идентификуваат потенцијалните обиди за искористување на ранливостите.“

Во слично предупредување, Агенцијата за национална безбедност на САД (NSA) соопшти дека ранливостите може да им овозможат на злонамерните актери директен пристап до датотечниот систем или базата на податоци на серверот.

OpenAI, која ги опиша недостатоците како „еден од највлијателните безбедносни проблеми во поновата историја“, објави Codex skill со кој може да се провери дали некоја веб-страница или локална PHP-бинарна датотека е ранлива на PHP2Shell.

Бидејќи PHP се користи на поголемиот дел од веб-страниците во светот, огромната површина за напади, во комбинација со сериозноста и лесното искористување на ранливостите PHP2Shell, создава значителен ризик. Овие недостатоци им овозможуваат на напаѓачите да извршуваат код без автентикација и да крадат чувствителни податоци.

„PHP се користи на речиси 70% од веб-страниците“, соопшти Cloudflare. „Ранливостите php2shell го засегаат самиот PHP runtime и може да им овозможат на напаѓачите да извршуваат малициозен код на ранливи сервери, да откриваат податоци за клиентите или да ги нарушуваат услугите. Бидејќи PHP е основа на широко користени платформи како WordPress и Magento, овие недостатоци потенцијално може да засегнат голем број апликации на интернет.“

Анализата на VulnCheck идентификувала PHP на 2.608.039 интернет-достапни хостови. Од нив, повеќе од 700.000 користат PHP од верзијата 3.x до 7.3. Дополнителни околу 400.000 хостови користат PHP 7.4, 8.0 или 8.1, додека 403.000 хостови користат поддржани верзии од гранките 8.2 до 8.5.

„PHP е исклучително популарен програмски јазик што се користи во голем дел од интернетот“, изјави Ilkka Turunen, технички директор за теренски операции (Field CTO) во Sonatype.

„Непосредниот приоритет е јасната одговорност: да знаете каде се користи PHP во вашите услуги и производи, кој е одговорен за отстранување на ранливоста и колку брзо може да се применат поправките.“

„Веројатно постои голем број системи што сè уште треба да ја применат оваа закрпа, бидејќи PHP е вклучен во многу други дистрибуции на оперативни системи, а се користи и во бројни постари системски околини.“

Некои од другите значајни случувања се наведени подолу:

– Платформата за WebOps, Pantheon, соопшти дека блокирала повеќе од 60.000 сомнителни барања со кои се испитувала ранливоста.

– VulnCheck идентификувал два хоста, 85.11.167[.]243 и 45.198.224[.]169, кои користеле user-agent „php2shell-scan/109618“ за активно искористување на CVE-2026-109618 против нивните безбедносни стапици. Во меѓувреме, IP-адресата 109.71.252[.]97 ги искористувала двете ранливости.

– Cloudflare забележал сообраќај од напади насочени кон неговите клиенти. Злонамерните актери ги менувале податоците на нападите за да се обидат да ги заобиколат безбедносните заштити, следејќи го бројот на совпаѓања и споредувајќи ги резултатите со логиката на безбедносните правила.

– CloudLinux објавил поправени пакети за ea-php52 до ea-php85, како и за сите верзии на alt-php.

– Дополнителни насоки и мерки за ублажување на ризикот објавија бројни компании за безбедност и софтвер, меѓу кои Akamai, Amazon Web Services (AWS), Arctic Wolf, Automattic, Cisco Talos, Corelight, CyCognito, Fastly, Google Cloud, Hadrian, Imperva, Kaspersky, Microsoft Azure, NetSPI, Orca Security, OX Security, Palo Alto Networks Unit 42, Pentest Tools, Rapid7, ReliaQuest, SOCRadar, Searchlight Cyber, Sophos, Tanium, Vercel, watchTowr и Zscaler.

„Времето потребно за претворање на закрпата во функционална експлоатација се намалува поради структурни причини“, изјави Moses.

„Во минатото, повеќето обиди за искористување што ги забележувавме се случуваа откако ќе беше објавен јавен доказ за концепт (PoC). Мал број способни актери создаваа експлоатации, а сите останати чекаа тие да ги направат.“

„Таа зависност постепено слабее. Анализата потпомогната со вештачка интелигенција го прави поевтино претворањето на разликите во закрпата или безбедносното известување во функционална експлоатација. Како резултат на тоа, сè повеќе актери можат да дејствуваат во рок од неколку часа, па дури и минути, откако ќе бидат објавени техничките детали за некоја ранливост.“

Извори:

The Hacker News – Someone Tried to Exploit PHP2Shell 4 Days Before the Vulnerabilities Were Publicly Disclosed The Hacker News