PHP-експлоатацијата во полн замав: 32,5 милиони сервиси и понатаму се ранливи

Повеќето сервери сè уште користат PHP 7.4, верзија чија последна надградба беше објавена пред четири години.

Кризата со сајбербезбедноста на PHP продолжува, при што 32,5 милиони сервери и понатаму се ранливи. Според податоците на Censys, повеќе од 10 милиони од нив се наоѓаат во САД, а американската Агенција за сајбербезбедност и безбедност на инфраструктурата (CISA) потврди дека заканувачките актери активно ги искористуваат критичните ранливости во PHP.

Речиси една недела помина од првичното објавување на информациите за две критични безбедносни пропусти во PHP, заеднички познати како PHP2Shell. Новите податоци на Censys откриваат огромен јаз во примената на безбедносните закрпи – десетици милиони системи сè уште користат верзии на PHP кои се подложни на нападите преку PHP2Shell.

Само околу една четвртина од PHP-сервисите што ја откриваат својата верзија – односно 11,2 милиони средства (assets) – се ажурирани на верзија во која безбедносните пропусти се отстранети. Тоа значи дека 32,5 милиони изложени PHP-сервиси сè уште работат со ранлива верзија.

Дополнително, повеќе од 60 милиони PHP-сервиси не ја пријавуваат својата верзија, поради што вкупниот број ранливи PHP-сервиси останува нејасен.

Само во САД има 10,3 милиони PHP-сервиси кои сè уште се ранливи, 3,2 милиони инстанци на кои веќе се применети безбедносните закрпи и повеќе од 20 милиони други сервиси кај кои верзијата на PHP е непозната.

Германија е на второто место, со повеќе од 4 милиони познати ранливи PHP-сервиси, а по неа следува Франција со повеќе од 2 милиони.

Примената на безбедносните закрпи нагло се зголемила во период од само два дена, при што на 22 и 23 октомври биле надградени приближно по 4,3 милиони PHP-сервиси дневно. Сепак, по овој краткотраен пораст, темпото на надградби нагло опаднало.

Платформата за сајбербезбедност постојано ги ажурира податоците на посебната контролна табла посветена на PHP2Shell.

Censys признава дека податоците имаат одредени ограничувања.

Податоците се прикажуваат како дневни пресечни состојби и може да доцнат неколку часа. Тие, исто така, се потпираат на верзиите што самите сервиси ги пријавуваат, а тие често се неточни – дистрибуциите на Linux често ги вклучуваат безбедносните поправки во постојните верзии без да го менуваат бројот на верзијата на PHP. Дополнително, Censys го прикажува бројот на сервиси, а еден сервис може да извршува повеќе PHP-инстанци на различни порти.

Потврдена експлоатација во реални услови

CISA располага со докази дека безбедносните пропусти активно се искористуваат во реални напади и ги вклучи во својот Каталог на познати експлоатирани ранливости (Known Exploited Vulnerabilities Catalog) на 26 октомври 2026 година. Тоа е речиси една недела по првите пријавени обиди за експлоатација, кои ги објави AWS.

Федералните агенции имаат рок до 29 октомври да ги применат мерките за ублажување на ризикот.

PHP Foundation ги објави безбедносните закрпи на 21 октомври, откако еден ден претходно испрати претходно известување до одржувачите на софтверските пакети и дистрибуции што го вклучуваат PHP.

Потоа, десетици производители и организации, меѓу кои WordPress, AWS, Palo Alto Networks и самата CISA, објавија безбедносни предупредувања и препораки за заштита.

Тимот за разузнавање на закани на Amazon објави дека најраните обиди за експлоатација се случиле пред ранливостите да бидат јавно обелоденети. Нивните „honeypot“ системи забележале обиди за експлоатација на 17 октомври, четири дена пред да истече ембаргото за објавување на информациите.

IP-адресата на напаѓачот потекнувала од комерцијална мрежа за анонимизација.

„Сè уште не е јасно како напаѓачот дошол до информации за експлоатацијата пред таа да биде јавно обелоденета“, се наведува во објавата на безбедносниот блог на AWS.

Amazon открил повеќе експлоити за докажување на концептот (PoC), како и обиди за сајбернапади на денот на објавувањето на безбедносните закрпи. Тие користеле различни малициозни содржини (payloads) и инфраструктура за анонимизација, што укажува на можно учество на повеќе различни напаѓачи.

Одделот Unit 42 на Palo Alto првично објави дека европска владина институција била компромитирана со искористување на PHP2Shell. Сепак, тимот подоцна го повлече ова тврдење, наведувајќи дека не може да потврди дека првичниот пристап до системот бил поврзан со конкретната ранливост.

Еден истражувач за безбедност дури поставил ранлива веб-страница наречена „Steal My Bitcoin“ („Укради ми ги биткоините“), предизвикувајќи ги учесниците да ја пробијат со искористување на безбедносните пропусти во PHP и да ја освојат наградата од 2.000 долари. Веб-страницата била компромитирана за помалку од 24 часа – објави Cybernews.

Минатата недела, CYFIRMA објави дека открила кампањи за скенирање со мал обем, насочени кон глобалната PHP-инфраструктура, и изрази сомнеж дека тие потекнуваат од Северна Кореја.

PHP е широко користен бекенд-скриптен јазик кој овозможува функционирање на 70% од сите веб-страници. Како што објави Cybernews, биле откриени два критични безбедносни пропусти во основниот механизам на PHP – интерпретатор кој работи на веб-серверите и генерира HTML-страници со извршување код на серверската страна. Откривањето на пропустите поттикнало некои веб-страници, меѓу кои Wikipedia, Internet Archive и владини веб-страници, привремено да ги исклучат своите услуги.

Напаѓачите можат да предизвикаат грешки во меморијата со помош на специјално изработени барања за прикачување датотеки. Тоа потенцијално може да доведе до далечинско извршување код, без потреба од посебни привилегии или најавување во системот.

Двата пропусти имаат оценка за сериозност од 9,2 од максимални 10 и се заведени под ознаките CVE-2026-109618 и CVE-2026-109619.

Примената на безбедносните надоградби не е доволна

CISA предупредува дека присуството на PHP во организациите често не може директно да се забележи, бидејќи тој е вообичаена компонента на друг софтвер. Организациите мора да ги идентификуваат и да направат попис на сите свои системи што користат која било верзија на PHP.

„Ранливостите ги засегаат сите PHP-инсталации што обработуваат веб-барања, вклучувајќи ги Apache со mod_php, PHP-FPM, php-cgi, FrankenPHP и LiteSpeed. Организациите треба веднаш да ги ажурираат системите на PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 за да ги отстранат овие ранливости“, се наведува во безбедносното предупредување на CISA.

Многу веб-сервери сè уште користат верзии на PHP од 5.4 до 7.3. Овие верзии се надвор од периодот на поддршка и никогаш повеќе нема да добиваат безбедносни поправки. Затоа, тие системи мора да преминат на поддржана верзија, предупредува Censys.

Администраторите кои ги оставиле своите сервери ранливи во текот на целата измината недела треба да проверат и дали можеби дошло до компромитирање на системите. Тоа вклучува прегледување на дневниците за пристап до веб-серверите и проверка на директориумот во кој се чуваат PHP-сесиите, со цел да се откријат неочекувани датотеки.

Извори:

• Cybernews – PHP exploitation in full force: 32.5 million services remain vulnerable Cybernews