Две критические уязвимости RCE в PHP уже привлекли миллионы попыток эксплуатации, а четыре дыры в Plex Media Server злоумышленники используют для установки майнеров и прокси. Для российских команд это очередное напоминание: инвентаризация внешних сервисов и скорость патчинга теперь важнее красивого отчёта о закрытых тикетах.
Неделя с 19 по 26 октября прошла под знаком удалённого выполнения кода — сообщает The Hacker News. Наиболее заметный эпизод получил неофициальное название PHP2Shell: PHP Foundation выпустила исправления для CVE-2026-109618 и CVE-2026-109619, которые позволяют выполнить код без аутентификации. Cloudflare зафиксировала миллионы попыток проверки и эксплуатации после публичного раскрытия. Успешных атак на момент публикации не подтверждено, но часть сайтов временно отключалась, чтобы не проверять последствия на продакшене.
Сама по себе массовая разведка не означает компрометацию, однако она сжимает привычное окно реакции. Когда уязвимость затрагивает широко установленный интерпретатор, атакующему достаточно автоматизировать поиск: заголовки, ответы серверов, публичные панели и забытые поддомены часто выдают цель быстрее, чем владельцы успевают собрать список своих инсталляций. Командам стоит проверить не только основное веб-приложение, но и старые лендинги, CMS, внутренние порталы, контейнерные образы и хостинги у подрядчиков.
Второй крупный фронт — зависимость от библиотек. В декодере Brotli закрыли CVE-2026-111497, способную привести к удалённому выполнению кода без аутентификации. Проблема затрагивает не один пакет, а цепочку проектов, использующих Brotli: libbrotli, Python, C++, Node.js, Bun, Envoy и Istio. На этом фоне Ruby выпустил версии 4.0.9, 3.4.12 и 3.3.13 с исправлениями ошибок движка регулярных выражений Onigmo; в определённых сценариях они могли привести к выполнению кода на серверах GitLab.
GitLab отдельно устранил CVE-2026-110264 с оценкой CVSS 10.0. Причина — целочисленное переполнение при компиляции специально подготовленного регулярного выражения; при соблюдении условий неаутентифицированный пользователь мог выполнить произвольный код на сервере. Обновления доступны для веток 19.5, 19.4, 19.3, 19.2, 19.1, 19.0 и 18.11. Это тот случай, когда отложенный апгрейд корпоративной платформы превращается из технического долга в прямой риск доступа к исходникам, CI/CD-переменным и токенам развёртывания.
Реальные атаки уже подтверждены в Plex Media Server. Цепочка Plex2Shell объединяет CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656 и устанавливает криптомайнеры и прокси-софт. CISA добавило все четыре проблемы в каталог Known Exploited Vulnerabilities. Для бизнеса Plex может выглядеть как домашний медиасервис, но в реальности он нередко живёт на том же сервере, что и резервные копии, NAS или другие домашние и малые офисные сервисы. Изолировать такие системы от рабочих сетей заметно дешевле, чем расследовать, как через медиасервер в инфраструктуре появился чужой прокси.
Ещё неприятнее история LiteLLM: мастер-ключ платформы агентов, случайно опубликованный в публичном репозитории GitHub в конце мая, позволил атакующему выпустить вредоносную версию Python-пакета LiteLLM 1.107.0. Вложенные файлы были устроены так, чтобы запускаться при старте Python даже без явного импорта LiteLLM. Один модуль собирал учётные данные из инструментов разработчика, AI-приложений, облачных окружений и браузеров, другой поднимал Unix-бэкдор и раз в час получал команды. Это уже не просто история о необходимости отозвать утёкший ключ: пакетная экосистема требует контроля происхождения артефактов, фиксации версий и проверки того, что именно попало в сборку.
Параллельно Linux-серверы с включённым KSMBD получили предупреждение о двух публично раскрытых RCE-уязвимостях с оценкой CVSS 9.0 и локальном повышении привилегий. Идентификаторов CVE и исправлений на момент публикации ещё не было. Практический минимум здесь — выяснить, запущен ли встроенный SMB-сервер вообще, ограничить непривилегированные пользовательские пространства имён, где это возможно, и применить RuntimeDefault seccomp. Публичный сервис, о котором никто не помнит, — любимый тип актива для атакующего.
Наконец, инцидент с eMudhra показал, что слабое звено может находиться выше уровня приложения. У восьми промежуточных сертификатов индийской компании обнаружили недопустимо слабые приватные ключи; теоретически это открывало путь к выпуску доверенных сертификатов для произвольных доменов. Apple начала блокировку затронутых сертификатов 19 октября, а 23 октября добавила в блокировку emSign ECC Root CA - G3. Обновлённые наборы корневых сертификатов выпустили и проекты Python, включая certifi, pip, uv, sigstore, conda и pixi. После инцидента eMudhra решила уйти с рынка выпуска TLS-сертификатов.
Общий вывод недели не в том, что «всё стало RCE», хотя заголовок почти просится сам. Критические уязвимости RCE всё чаще возникают в компонентах, которые команды считают базовой инфраструктурой: интерпретаторах, декодерах, SCM, медиасерверах и пакетных менеджерах. Приоритет на ближайшие дни простой: сверить активы с PHP, GitLab, Plex, Brotli и KSMBD, закрыть доступные обновления, отозвать подозрительные секреты и проверить журналы на признаки сканирования. Вопрос уже не в том, появится ли следующий громкий «-2Shell», а в том, успеет ли организация понять, где именно он у неё установлен.
