- Специалисты Amazon выявили эксплуатацию критических уязвимостей PHP2Shell еще 17 октября, за четыре дня до публичного релиза патчей.
- После раскрытия число попыток взлома через сеть Cloudflare выросло до миллионов, злоумышленники пытаются внедрять ботнет Mirai (вариант Potassium).
- Официальные ведомства Нидерландов, Германии и Японии пока не зафиксировали успешных проникновений, но администраторам рекомендовано проверить логи начиная с 17 октября.
Хронология атак и данные телеметрии
Команда Amazon Threat Intelligence обнародовала данные, согласно которым критические бреши в среде выполнения PHP - получившие общее название PHP2Shell - подверглись попыткам практической эксплуатации за несколько дней до их официального исправления. Согласно заявлению руководителя службы информационной безопасности Amazon Си-Джея Мозеса (CJ Moses), первая атака была зарегистрирована системой ханипотов MadPot еще 17 октября 2026 года.
Запрос поступил с IP-адреса, входящего в коммерческую сеть анонимизации. Каким образом злоумышленники получили сведения об уязвимости во время действия режима эмбарго, на текущий момент остается неизвестным. Уже 21 октября около 02:00 UTC (примерно за 12 часов до публикации патчей) Amazon зафиксировала волну атак с применением различных концептуальных эксплойтов (PoC) из независимых анонимных сетей, что указывает на активность сразу нескольких хакерских группировок.
Масштаб угрозы и динамика активности
Генеральный директор Cloudflare Мэттью Принс (Matthew Prince) сообщил о колоссальном всплеске вредоносной активности, направленной на уязвимости, зарегистрированные под идентификаторами CVE-2026-109618 и CVE-2026-109619. Атакующие оперативно модифицируют полезную нагрузку в ответ на блокировки со стороны защитных экранов веб-приложений (WAF).
| Временной интервал | Количество попыток атак (Cloudflare) | Особенности векторов атаки |
|---|---|---|
| За 10 часов до публикации | Тысячи запросов | Точечное зондирование через анонимные прокси |
| Спустя 45 минут после релиза | Десятки тысяч | Массовый перебор путей session upload-progress |
| Через 2 часа после публикации | Сотни тысяч | Попытки обхода фильтров WAF, смена сигнатур |
| В течение суток | Миллионы | Попытки развертывания ботнета Mirai (штамм Potassium) |
Техническая специфика и статус безопасности
Обе уязвимости получили критический рейтинг опасности 9.2 по шкале CVSS. Проблема кроется непосредственно в механизме управления памятью ядра интерпретатора PHP, а не в отдельных плагинах или фреймворках, что ставит под удар огромную долю глобальной веб-инфраструктуры. Как отметила аналитическая компания Hadrian, большая часть атак эксплуатирует механизм отслеживания прогресса загрузки файлов через сессии (session upload-progress).
Злоумышленники предпринимают активные попытки включить скомпрометированные серверы в ботнет Mirai (модификация Potassium). Тем не менее вепонизация уязвимостей на практике оказалась сложнее предварительных оценок: официальные органы кибербезопасности Нидерландов, Германии и Японии подтвердили, что на данный момент результативных взломов не зафиксировано.
Системным администраторам и инженерам необходимо немедленно обновить сборки PHP до актуальных версий с исправлениями. Вследствие того, что эксплойты циркулировали в сети еще до официального эмбарго, базовой установки патчей недостаточно: командам безопасности предписано провести аудит журналов веб-серверов и системных логов на предмет подозрительных POST-запросов начиная как минимум с 17 октября.
Сам активно использую PHP на нескольких проектах, и эта новость очень напрягает. Всегда стараюсь обновляться быстро, но тут прямо до релиза патчей атаки пошли. У меня был случай, когда похожая уязвимость в другом фреймворке чуть не положила сайт из-за медленного обновления. Важно не только патчи ставить, но и WAF настроить грамотно. Часто выручает, если что-то пропустил. Главное — регулярно мониторить логи, особенно после таких новостей.