Мировые команды по информационной безопасности спешно защищают веб-серверы после раскрытия двух критических уязвимостей удаленного выполнения кода в языке программирования PHP, получивших общее название PHP2Shell и отслеживаемых как CVE-2026-109618 и CVE-2026-109619. Экстренные обновления, выпущенные командой разработчиков PHP, устраняют недочеты, затрагивающие все установки PHP, обслуживающие веб-запросы, причем фундаментальные проблемы уходят корнями на десятилетия назад. По мере того как администраторы спешно устанавливают патчи, исследование показывает, что злоумышленникам удалось атаковать уязвимости за несколько дней до публикации официальных предупреждений.
Согласно анализу, опубликованному WIRED, компания Amazon Web Services обнаружила, что по меньшей мере один злоумышленник попытался использовать уязвимости 17 октября — за четыре дня до официального выпуска патчей и публичных рекомендаций. Аналитики AWS выявили эту активность при проверке логов внутренней сети ханипотов (ложных целей), отметив, что атака исходила с IP-адреса, связанного с коммерческой сетью прокси-анонимизации. Си Джей Мозес, директор по информационной безопасности AWS, отметил, что, хотя уязвимость находилась под строгим эмбарго, атака на ханипот из анонимизированного источника указывает на целенаправленные действия злоумышленника, хотя точный способ получения им расширенных деталей эксплойта остается неустановленным.
Архитектурные уязвимости десятилетней давности
Обозначение PHP2Shell охватывает две отдельные уязвимости, способные обеспечить неаутентифицированное удаленное выполнение кода на веб-серверах до того, как выполнится какой-либо код приложения. Как сообщает Help Net Security, уязвимость CVE-2026-109618 проистекает из повреждения памяти из-за нехватки ресурсов (OOM), когда некорректная обработка прерывает PHP в момент, когда данные внутреннего запроса инициализированы лишь частично, что позволяет процедурам очистки рассматривать недействительные данные как действительные. В свою очередь, CVE-2026-109619 связана со старым глобальным состоянием, которое сохраняется после того, как выделенная ему память была освобождена, из-за чего последующие запросы могут использовать эти устаревшие данные до нормальной инициализации.
Исследователи безопасности из компании Wiz пояснили, что доказательство возможности эксплуатации этих глубоко укоренившихся архитектурных недостатков потребовало исключительно сложной цепочки шагов на грани возможностей человеческого исследования. Тем не менее, передовые модели искусственного интеллекта существенно снизили этот барьер, превратив давний недостаток в рабочий эксплойт. Уязвимости затрагивают каждую стандартную установку PHP, обрабатывающую веб-трафик, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed, причем конфигурации mod_php сталкиваются с наибольшим уровнем риска.
Сокращение окна уязвимости
Попытка эксплуатации 17 октября подчеркивает структурный сдвиг в ландшафте кибербезопасности. Эксперты по безопасности предупреждают, что автоматизированный анализ и инструменты на базе ИИ резко сокращают временной интервал между выпуском патча и созданием рабочего эксплойта. В прошлых циклах безопасности защитники могли полагаться на период эмбарго для установки обновлений до того, как квалифицированные злоумышленники проведут обратную разработку рекомендаций. Теперь автоматизированный анализ сокращает это окно до часов или даже минут.
В ответ на серьезность угрозы Национальный центр кибербезопасности Великобритании призвал организации рассмотреть возможность отключения любых уязвимых систем, которые нельзя исправить немедленно. Компания Cloudflare развернула первоначальные правила межсетевого экрана веб-приложений для известных векторов атак на всех уровнях клиентских подписок, в то время как репозитории, поддерживаемые волонтерами, порекомендовали пользователям напрямую перейти на официальные дистрибутивные пакеты или собирать PHP из исходного кода для немедленного получения обновлений.