PHP2Shell: атаките вече текат – Cloudflare отчита милиони опити

Критичните уязвимости в езика за програмиране PHP вече се атакуват масово. Изпълнителният директор на Cloudflare Матю Принс съобщи в X късно в сряда вечерта за милиони опити за експлоатация срещу клиенти на компанията, предаде Ройтерс. Според него броят им е нараснал от няколко хиляди в десетте часа преди обявяването до десетки хиляди в рамките на 45 минути след това и стотици хиляди след два часа. Шефът по сигурността на Amazon Си Джей Моузес написа в блога на компанията, че PHP2Shell „вече се експлоатира широко в реална среда“. Дали опитите биха успели срещу реални системи обаче все още не е ясно.

Особено тревожен е моментът: капан-сървър (honeypot) на Amazon е регистрирал опит за атака още на 17 октомври – четири дни преди публикуването – през търговска мрежа за анонимизиране. Откъде нападателят е имал информацията, според Amazon не е известно. По данни на специализирания портал The Hacker News подробности и примерен експлойт са изтекли предсрочно, затова разработчиците на PHP пуснаха обновленията ден по-рано от планираното – в сряда. Двете уязвимости CVE-2026-109618 и CVE-2026-109619 са оценени с 9,2 от 10 точки и позволяват изпълнение на код на уеб сървъри без вход в системата.

Според компанията за киберсигурност Tenable защитени са версиите 8.5.12, 8.4.27, 8.3.36 и 8.2.35; за по-старите клонове има само спешни корекции или изобщо няма поправки. Услугата VulnCheck е преброила около 2,6 милиона достъпни от интернет сървъра с PHP, от които над 700 000 с остарели версии до 7.3. Допълнително затруднение е, че атаките почти не оставят следи: „Няма автентикация, която да се заобиколи, няма сесия, която да се открадне“, заявиха от CrowdStrike. Amazon съветва обновленията да се инсталират в рамките на часове, а не на дни, и сървърите да се проверят за аномалии от 17 октомври насам.