«Взломы подтверждены»: дыры в PHP начали использоваться в реальных атаках
Адель Карими (Adel Karimi), руководитель направления обнаружения угроз и реагирования на инциденты в Perplexity получил подтверждение, тому, что две критические уязвимости PHP2Shell позволяют удалено выполнять команды без авторизации на уязвимых серверах.
Как сообщают СМИ, о такой возможности эксперты говорили ранее, но подтвердить успешность атак через вредоносный код не удавалось.
Группе Карими удалось не только подтвердить успешную атаку, но и доказать, что злоумышленникам удалось получить данные из памяти атакованных процессоров.
Была атакована система с Apache mod_php и PHP 8.4.26 и получены 800 КиБ (кибибайт) данных памяти. После этого хакер использовал извлечённый адрес функции, чтобы подготовить следующий этап атаки.
Когда последний байт запроса был отправлен, сервер через 1,6 мс выполнил команду оболочки.
Кроме Карими, отслеживал и подтвердил такие же итоги исследователь компании Expel Маркус Хатчинс, который изучал сообщения об успешной эксплуатации PHP2Shell.
Напомним, что под таким названием объединены уязвимости CVE-2026-109618 и CVE-2026-109619. Разработчики PHP заявили, что они были устранены 21 октября.
По их словам, несмотря на то, что ранее в Сети появились сведения об уязвимостях и некоторые демонстрационные эксплойты, они не работали.
Об атаках, которые, однако, не приводили к успешной эксплуатации продукта, заявляли в компаниях Cloudflare, Hadrian, watchTowr, Previdian и Patchstack.
А эксперты Amazon Threat Intelligence говорили о попытках взлома еще 17 октября.
Напомним, что PHP использует около 70% сайтов Сети, в открытом доступе в которой находятся порядка 5,1 млн хостов с PHP. Для потенциальных атак доступно порядка 3,8 млн, которые обладают уязвимым для взлома портом.
На данный момент, при успешном использовании двух «дыр» угроза возникает для значительного числа серверов.
Ранее Topnews писал, что «Яндекс» раскрыл судьбу трех суперкомпьютеров после атак БПЛА на дата-центры.
