Европейски и международни агенции призовават за незабавно обновяване на PHP системите. Двете уязвимости могат да позволят изпълнение на зловреден код без удостоверяване, а над 22 милиона достъпни през интернет PHP инстанции може да са засегнати.
PHP2Shell позволява атака без предварителен достъп
Киберсигурностни агенции от Европа, САЩ, Великобритания, Канада и Австралия призоваха организациите незабавно да отстранят две критични уязвимости в широко използвания език за програмиране PHP. Проблемите, проследявани като CVE-2026-109618 и CVE-2026-109619 и обединени под името PHP2Shell, могат при определени условия да позволят дистанционно изпълнение на произволен код без предварително удостоверяване.
В съвместно изявление от 21 октомври Агенцията на Европейския съюз за киберсигурност (ENISA), Европейската комисия, CERT-EU, Европейският център за киберпрестъпност на Европол и националните екипи за реагиране при инциденти призоваха организациите да установят кои приложения използват уязвими версии на PHP, да дадат приоритет на системите, изложени в интернет, и да координират отстраняването на проблема с доставчиците на хостинг и управлявани услуги.
Препоръката е категорична: ако незабавното обновяване е невъзможно, уязвимите приложения трябва временно да бъдат изолирани от публичните мрежи, докато могат да бъдат защитени.
Уязвимостта може да се крие и в продукти без видим PHP компонент
Рискът не се ограничава до сървъри, чиито администратори съзнателно използват PHP. Езикът е вграден или се използва като зависимост в множество комерсиални и свободни софтуерни продукти. Това означава, че дадена организация може да разполага с уязвим компонент, без той да е очевиден от външния вид или описанието на приложението.
Затова европейските агенции препоръчват проверка и на софтуера на трети страни. Националният център за киберсигурност на Нидерландия (NCSC-NL) поддържа GitHub хранилище с информация за продукти, които включват PHP и може да са засегнати: https://github.com/NCSC-NL/php2shell.
Според публикуваните предупреждения уязвимостите са свързани с проблеми от типа Use After Free (CWE-416). При определени условия повреда на паметта може да бъде използвана за изпълнение на код от разстояние. Рискът е особено висок при конфигурации, в които обработката на заявката достига уязвимия компонент преди изпълнението на кода на самото уеб приложение.
Засегнатите конфигурации включват Apache с mod_php, PHP-FPM, php-cgi, FrankenPHP и LiteSpeed. Според предупрежденията на PHP рискът е най-висок при mod_php.
Препоръчани версии и действия за ограничаване на риска
Американската агенция за киберсигурност и инфраструктурна сигурност (CISA) препоръчва актуализиране до следните версии:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Организациите, които използват неподдържани версии, включително PHP 8.1 и по-стари, трябва да планират преминаване към поддържана версия. Ако това не може да стане незабавно, CISA препоръчва уязвимите PHP системи да бъдат изведени офлайн до прилагането на корекция или актуализирането им. Защитна стена за уеб приложения (WAF) може да осигури допълнителен временен слой на защита, но не замества обновяването.
CISA е актуализирала предупреждението си и с правило за откриване на подозрителна активност във формат SIGMA. Сред признаците, които екипите по сигурността трябва да следят, са PHP работни процеси, които стартират командни интерпретатори или изтеглят инструменти.
Необходимо е също да се направи пълен опис на всички системи, работещи с PHP, независимо от версията и начина на внедряване. Проверка само на основните уеб сървъри може да пропусне компоненти, включени в други приложения или услуги.
Към момента на публикуване на разглежданите предупреждения агенциите не съобщават за потвърдена успешна експлоатация в реални атаки. Канадският център за киберсигурност обаче посочва, че има публични сведения за наличен код за доказване на концепцията (PoC). Това увеличава значението на бързото ограничаване на изложените системи, тъй като наличието на PoC може да ускори опитите за разработване и автоматизиране на атаки.
Над 22 милиона потенциално засегнати PHP инстанции
Изследователите на Unit 42 към Palo Alto Networks оценяват, че над 22 милиона PHP инстанции, достъпни през интернет, може да са изложени на риск. Това подчертава мащаба на проблема и трудностите пред организациите, които трябва да проверят множество сървъри, приложения и зависимости в кратък срок.
Австралийски медии съобщиха, че сред засегнатите системи са били и правителствени уебсайтове, включително сайтове, управлявани от Австралийската дирекция за сигнали (ASD). Някои държавни сайтове временно са били изведени офлайн, докато операторите прилагат мерки за ограничаване на риска. Подобни предпазни действия са предприети и от други оператори.
Мащабът на потенциалното въздействие се обяснява с широкото разпространение на PHP в уеб инфраструктурата. Според данните на W3Techs езикът се използва от приблизително 75% от уебсайтовете, за които може да бъде установен сървърният език за програмиране.
Unit 42 предупреждава и за по-широк риск след първоначалното проникване. В отделен случай изследователите наблюдавали атакуващи, използващи платформи за атаки с агентен ИИ при действия след компрометирането на система. Според описанието в рамките на два часа след първоначалната експлоатация нападателите получили достъп до хешове на пароли и тайни, свързани с многофакторно удостоверяване, изградили NTLM relay тунел към Active Directory и опитали да повишат привилегиите си до Domain Admin.
Този случай не доказва, че всички атаки срещу PHP2Shell ще следват същия сценарий. Той обаче показва защо уязвимост, позволяваща изпълнение на код без удостоверяване, може да се превърне в начална точка за компрометиране на по-широка корпоративна среда.
Какво трябва да направят организациите
За екипите по ИТ и киберсигурност приоритетът е да преминат от предположения към проверен опис на активите и конкретен план за реакция:
- Установете всички PHP инсталации – включително тези, вградени в системи за управление на съдържанието, комерсиални продукти и услуги на външни доставчици.
- Приоритизирайте публично достъпните сървъри и конфигурациите с най-висок риск, особено Apache с
mod_php. - Инсталирайте подходящата корекция и проверете дали обновяването е приложено успешно.
- Изолирайте системите, които не могат да бъдат коригирани навреме, вместо да разчитате единствено на WAF или други компенсиращи мерки.
- Проверете за признаци на компрометиране – необичайни процеси, стартиране на командни интерпретатори от PHP, неочаквани изтегляния и подозрителни действия в идентификационната инфраструктура.
- Свържете се с доставчиците и хостинг партньорите, за да потвърдите кои компоненти са засегнати и кога ще бъдат защитени.
Случаят показва и значението на управлението на уязвимостите във веригата на доставки. Когато критичен компонент е включен в множество продукти, организациите не могат да разчитат само на видимия софтуерен инвентар. Необходими са актуални данни за зависимостите, ясни отговорности между клиентите и доставчиците и процедури за бързо ограничаване на риска.
Новите европейски правила поставят уязвимостите и в регулаторен контекст
Предупреждението идва на фона на влизането в действие на първите задължения за докладване по Акта на ЕС за киберустойчивостта (Регламент ЕС 2024/2847). От 11 септември 2026 г. производителите на продукти с цифрови елементи трябва да докладват активно експлоатирани уязвимости чрез Единната платформа за докладване. Основните изисквания на регламента започват да се прилагат от 11 декември 2027 г.
Регламентът поставя акцент върху сигурността още при проектирането и върху поддръжката на продуктите през жизнения им цикъл, включително своевременното отстраняване на уязвимости. Конкретните задължения зависят от приложимите разпоредби и ролята на съответната организация.
За операторите на уеб услуги непосредственият извод остава практичен: инвентаризацията, корекцията и проверката за компрометиране не бива да се отлагат. При уязвимост, която може да бъде задействана без удостоверяване, всяка неоткрита PHP инсталация или забавена актуализация може да остави отворен път към критични системи.
