Американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) добави две критични уязвимости в PHP, известни под общото наименование PHP2Shell, към каталога си с уязвимости, за които има данни за експлоатация в реални атаки. Проблемите, проследявани като CVE-2026-109618 и CVE-2026-109619, могат да позволят на нападатели без специални привилегии да изпълняват отдалечено код върху незакърпени системи.
Експлоатацията изисква атака с висока степен на сложност, но потенциалните последствия са сериозни: компрометиране на уеб сървъри и получаване на възможност за изпълнение на злонамерени команди. Екипът по сигурността на PHP публикува корекции на 21 октомври, след като ден по-рано призова администраторите да инсталират актуализациите незабавно след излизането им.
Информация за уязвимостите, включително идентификаторите CVE и данни за мерките за ограничаване на риска, предназначени за оператори на критична инфраструктура, е изтекла преди официалното оповестяване. Преди публикуването на корекциите в интернет са се появили и експлойти с доказателство за концепцията (PoC), но според екипа на PHP те не са били функционални.
Няколко компании за киберсигурност, сред които Cloudflare, Amazon, Hadrian, watchTowr и Patchstack, са регистрирали опити за експлоатация преди публичното разкриване на проблема. Първоначалните им оценки определят тези опити като неуспешни. Междувременно изследователи от Amazon Threat Intelligence съобщават, че нападателите са започнали да атакуват уязвимостите четири дни преди публикуването на корекциите.
На 26 октомври CISA включи двете уязвимости в каталога си Known Exploited Vulnerabilities (KEV). Агенцията разпореди на федералните изпълнителни ведомства на гражданската администрация на САЩ да защитят системите си до 29 октомври съгласно задължителната оперативна директива BOD 26-04. Макар срокът да се отнася конкретно за тези ведомства, CISA препоръчва на всички организации да прилагат управление на уязвимостите, основано на риска, и да дават приоритет на проблемите, включени в каталога KEV.
Допълнителни доказателства за реална експлоатация се появиха през уикенда. Адел Карими, ръководител на екипа за откриване и реакция при инциденти в Perplexity, съобщи, че honeypot системи са регистрирали изпълнение на отдалечен код срещу инсталация на Apache mod_php с PHP 8.4.26. Това е индикация, че поне част от атакуващата активност е достигнала до успешно изпълнение на код, въпреки по-ранните данни за неуспешни опити.
Рискът се усложнява и от друга уязвимост в PHP – CVE-2026-115560, за която екипът по сигурността публикува мерки за ограничаване на риска на 23 октомври, без към този момент да е налична корекция. Проблемът може да бъде използван при специфична комбинация от конфигурация и код на приложението.
PHP остава широко разпространена технология за уеб инфраструктура. Според W3Techs тя се използва от приблизително 70% от уебсайтовете, за които е известен сървърният език. Оценки на VirusTotal посочват над 5,1 милиона изложени онлайн PHP хоста, като около 3,8 милиона инстанции имат поне един отворен порт, който може да бъде атакуван.
За организациите, които използват PHP, приоритетът е да установят кои системи са изложени на риск, да приложат наличните корекции и да проверят логовете за подозрителни заявки и признаци за изпълнение на отдалечен код. Особено важно е да се прегледат публично достъпните уеб сървъри и приложения, тъй като компрометирането им може да осигури първоначален достъп до по-широка част от корпоративната инфраструктура.
