Безбедносните пропусти PHP2Shell сега успешно се искористуваат во реални напади

Две критични ранливости за далечинско извршување код (RCE), означени како CVE-2026-109618 и CVE-2026-109619, кои заеднички се следат под името PHP2Shell, успешно се искористуваат во реални напади.

Злонамерната активност ја открил Адел Карими (Adel Karimi), раководител за детекција и одговор на безбедносни инциденти во Perplexity. Неговите honeypot системи забележале докази за потврдено далечинско извршување код врз инсталација на Apache mod_php со PHP 8.4.26.

„Сега имаме потврдено далечинско извршување код (RCE) со можност за искористување на откриени податоци од меморијата, а не само пад на системот проследен со сомнителен процес. Одговорот содржеше декодирана копија од колачиња (cookie dump) со големина од 800 KiB, а адресата на функција, изведена од тие податоци со користење на поместувањата (offsets) од јавно достапниот експлоит, се појавува во подоцнежниот товар за извршување“, сподели Карими.

„Клиентот го потврди приемот на целиот одговор, а потоа командата на shell се изврши приближно 1,6 милисекунди по приемот на последниот забележан бајт од барањето за извршување.“

Наодите на Карими ги потврдил и Маркус Хачинс (Marcus Hutchins), истражувач за сајбер-закани во Expel, кој следи низа извештаи за наводно успешни напади со искористување на PHP2Shell.

„Ова е убедливо најквалитетната потврда за искористување на PHP2Shell во реални напади што сум ја видел досега. Станува збор за детална техничка анализа на успешен обид за експлоатација врз Apache

Безбедносниот тим на PHP ги поправи ранливостите PHP2Shell во средата, на 21 октомври, еден ден откако ги повика администраторите да се подготват да ги инсталираат безбедносните ажурирања веднаш штом ќе станат достапни.

Иако деталите за безбедносните пропусти PHP2Shell, вклучувајќи ги CVE-идентификаторите и препораките за ублажување на ризикот доставени до одредени оператори на критична инфраструктура, протекоа на интернет, а некои експлоити за докажување на концептот (Proof of Concept — PoC) беа објавени пред да бидат објавени закрпите, безбедносниот тим на PHP соопшти дека ниту еден од нив не функционирал.

Дополнително, повеќе компании за сајбер-безбедност, меѓу кои Cloudflare, Hadrian, watchTowr, Previdian и Patchstack, открија обиди за искористување на ранливостите пред нивното јавно објавување, но сите ги означија како неуспешни.

Истражувачите за безбедносни закани на Amazon Threat Intelligence, исто така, забележале напаѓачи кои ги таргетирале ранливостите PHP2Shell четири дена пред објавувањето на безбедносните закрпи.

Сепак, сè до наодите на Карими, злонамерната активност била „ограничена на скенирање, идентификација на системите и користење експлоити што не функционираат, без познати компромитирани системи“, според тимот за истражување закани и сајбер-инженерство (Threat Research and Cyber Engineering — TRACE) на Dataminr.

Во петокот, безбедносниот тим на PHP објави и мерки за ублажување на ризикот од нова ранливост за далечинско извршување код (RCE), означена како CVE-2026-115560, за која сè уште нема безбедносна закрпа. Таа може да се искористи само при напади врз системи со „невообичаена комбинација на конфигурација и код на апликацијата“.

Додека не биде објавена безбедносна закрпа, развивачите на PHP им препорачаа на администраторите да ја постават следнава директива:

session.upload_progress.enabled=0

Оваа промена треба да ги блокира потенцијалните напади. Истата мерка беше препорачана и пред објавувањето на закрпите за безбедносните ажурирања на PHP2Shell.

PHP (Hypertext Preprocessor) е програмски јазик за веб-развој што се користи на приближно 70% од сите веб-страници на интернет. Според неодамнешните процени на VirusTotal, повеќе од 5,1 милион PHP-хостови се изложени на интернет, а приближно 3,8 милиони имаат најмалку една отворена порта што може да биде цел на напади.

Извори:

• Bleeping Computer – PHP2Shell security flaws now sucessfully exploited in the wild Bleeping Computer