Первые попытки эксплуатации уязвимостей PHP2Shell зафиксированы 17 октября — за четыре дня до выпуска исправлений для PHP. Для команд, поддерживающих публичные PHP-сервисы, это неприятное напоминание: окно риска может открыться ещё до официального CVE и готового патча, а дату публичного раскрытия нельзя считать началом атаки.
Об этом сообщает BleepingComputer со ссылкой на Amazon Threat Intelligence. Речь идёт о двух критических уязвимостях — CVE-2026-109618 и CVE-2026-109619, которые способны привести к удалённому выполнению кода на уязвимом сервере. Патчи команда PHP выпустила 21 октября, хотя за день до этого уже просила администраторов подготовиться к срочному обновлению.
По данным AWS, ранняя активность была направлена на honeypot — специально поднятую ловушку для наблюдения за атаками. Запрос пришёл с IP-адреса коммерческой сети анонимизации. Это не доказывает успешный взлом и не раскрывает способ, которым атакующий получил сведения о баге, но сам факт обращения к ловушке во время эмбарго выглядит как работа реального злоумышленника, а не как обычное исследование после публикации.
После раскрытия информации активность ускорилась: Amazon увидела несколько вариантов proof-of-concept-эксплойтов, запускавшихся через VPN-адреса уже через несколько часов. AWS CISO Джей Мозес заявил, что уязвимости PHP2Shell теперь эксплуатируются широко, но одновременно подчеркнул важную оговорку: технический разбор продолжается, и пока неясно, сработали ли эти попытки на реальных целевых системах. Разные полезные нагрузки и инфраструктура анонимизации указывают скорее на несколько акторов, чем на одну кампанию.
История началась не с полноценной публикации. Подготовка исправлений шла в рамках координированного раскрытия, однако примерно за два дня до него в сеть попали детали PHP2Shell: идентификаторы CVE и рекомендации по снижению риска, ранее переданные части организаций критической инфраструктуры. Команде PHP пришлось ускорить график. До релиза появлялись и публичные PoC, но разработчики PHP утверждали, что работоспособных среди них не было.
Это различие важно не только для заголовка новости. Неработающий PoC может создавать шум в логах и сканерах, но не давать атакующему доступ. В то же время публикация названия, CVE и признаков уязвимости облегчает массовую разведку: можно быстро определить версию PHP, составить список открытых хостов и ждать появления рабочего эксплойта. Для защитников такой период особенно неудобен: риски уже обсуждают публично, а универсального обновления ещё нет.
Независимые наблюдения пока не подтверждают волну успешных компрометаций. Команда Dataminr TRACE сообщила, что после раскрытия видела в основном сканирование, fingerprinting и попытки применить неработающие эксплойты; известных успешных взломов на момент публикации у неё не было. Ранее о неудачных попытках до публичного анонса также сообщали Cloudflare, watchTowr, Previdian, Hadrian и Patchstack. Это не повод снижать приоритет: в подобных инцидентах первые дни часто заняты поиском подходящих целей и проверкой черновых техник.
Масштаб потенциальной поверхности атаки объясняет, почему вокруг PHP2Shell столько внимания. PHP используется огромным числом сайтов, в том числе проектами на WordPress, Drupal и Joomla. VirusTotal отслеживает более 5,1 млн PHP-хостов, доступных из интернета; примерно у 3,8 млн из них открыт хотя бы один порт. Эти цифры не означают, что все хосты уязвимы или что на каждом запущен веб-сервер, но они хорошо показывают объём поля, на котором автоматизированное сканирование может найти цель.
Для разработчиков и эксплуатации приоритет здесь довольно приземлённый: установить официальные обновления PHP на интернет-доступных системах и убедиться, что обновление действительно попало в работающие контейнеры, виртуальные машины и образы. Разработчик ядра PHP Джина Питер Баньядр заранее предупреждала, что именно патч остаётся единственной постоянной защитой. Британский NCSC рекомендовал организациям немедленно обновить PHP-серверы либо временно вывести их из сети до установки исправлений.
Практическая ловушка — считать, что обновить пакет на одном сервере достаточно. В инфраструктуре с несколькими окружениями PHP может жить в Docker-образах, воркерах очередей, legacy-инстансах, панелях управления и сервисах подрядчиков. Командам стоит сопоставить инвентаризацию с внешней экспозицией, проверить версии в рантайме, а не только в декларациях сборки, и просмотреть журналы за период с 17 октября на предмет необычных запросов, попыток fingerprinting и запуска подозрительных PHP-полезных нагрузок.
PHP2Shell также бьёт по привычной модели управления уязвимостями, где отсчёт начинается после рассылки вендора. В данном случае сигналы появились до патчей, а после публикации исследователи наблюдают главным образом сканирование и незрелые эксплойты. Вопрос теперь не в том, успеет ли интернет получить рабочий PoC, а в том, сколько публичных PHP-сервисов останется без исправлений к этому моменту.
