Check Point: AI-инструменты и уязвимости PHP под прицелом злоумышленников — обзор угроз недели

Check Point Research представила очередной еженедельный бюллетень об угрозах, охватывающий ключевые инциденты и исследовательские находки за неделю 26 октября. Отчёт демонстрирует сразу несколько тревожных трендов: от масштабных компрометаций инфраструктуры до применения AI-агентов для проведения управляемых человеком атак.

Подробности

Японский провайдер облачного хостинга Onamae Desktop Cloud подтвердил кибератаку, в ходе которой злоумышленники скомпрометировали его инфраструктуру и установили вредоносное ПО на серверы клиентов. Потенциально затронуты более 26 000 серверов. С 21 октября провайдер начал отключать клиентские среды, чтобы локализовать вторжение и предотвратить дальнейшую несанкционированную активность. Государственный банк Индии State Bank of India, обслуживающий более 500 миллионов клиентов, раскрыл утечку данных: в открытом доступе оказались 3 897 записей клиентов. Среди скомпрометированной информации — контактные данные, домашние адреса, даты рождения, банковские профили, кредитные записи и документы верификации личности. Банк заявил об отсутствии нарушений в работе основных сервисов. Разработчик решений для резервного копирования WordPress TeamUpdraft подвергся атаке: злоумышленники получили доступ к сайту компании и потенциально скомпрометировали клиентскую информацию и ключи подключения к сервису управления. Впоследствии атакующие использовали похищенные ключи UpdraftCentral для установки бэкдоров на сайты WordPress в ходе 18-часовой кампании 18–19 октября. Популярный open-source AI-шлюз LiteLLM подтвердил supply-chain атаку 21 октября: злоумышленники использовали украденные токены разработчиков для публикации вредоносных пакетов и Docker-образов. Скомпрометированная версия 1.107.0 была предназначена для кражи облачных учётных данных и секретов AI-сервисов; в дальнейшем атакующие тестировали похищенные учётные данные AWS. В разделе AI-угроз Check Point Research описала, как AI-браузеры с функциями антидетекта позволяют операторам управлять тысячами мошеннических аккаунтов, обходя защитные механизмы платформ. Инструменты Kameleo, AdsPower и MultiLogin способствуют захвату аккаунтов, финансовому мошенничеству и автоматизированному распространению AI-генерируемого контента, поддерживая масштабные операции влияния в социальных сетях. Кроме того, исследователи зафиксировали использование AI-агентов аффилированными лицами группировок INC и The Gentlemen для проведения атак с одобрением человеком: операция затронула 62 организации через эксплуатацию систем удалённого доступа и скомпрометированные учётные данные. Жертвы сосредоточены в производственном, энергетическом, медицинском и фармацевтическом секторах, преимущественно в США. Отдельно проанализирована киберпреступная операция, в которой несколько AI-ассистентов применялись для планирования и выполнения различных типов вредоносной активности. Злоумышленник опирался на AI-генерируемые скрипты и отчёты разведки для развития атакующих возможностей. В блоке уязвимостей отмечены критические уязвимости PHP CVE-2026-109618 и CVE-2026-109619, которые используются в массовых попытках эксплуатации и могут привести к удалённому выполнению кода (RCE). После раскрытия информации объём атакующего трафика вырос с тысяч до миллионов попыток.

Что делать

Организациям рекомендуется незамедлительно проверить наличие обновлений для PHP, устраняющих CVE-2026-109618 и CVE-2026-109619, и приоритизировать их установку. Следует провести аудит ключей доступа UpdraftCentral и отозвать потенциально скомпрометированные, а также проверить сайты WordPress на наличие бэкдоров. Командам, использующим LiteLLM, необходимо убедиться, что версия 1.107.0 не развёрнута в их инфраструктуре, и ротировать облачные учётные данные и секреты AI-сервисов. Дополнительно стоит усилить контроль удалённого доступа и внедрить MFA, а также ограничить применение антидетект-браузеров в корпоративной среде. Инциденты недели подтверждают: AI-инструменты становятся полноценным элементом арсенала атакующих, а скорость эксплуатации критических уязвимостей продолжает расти — оперативность патчинга и контроль учётных данных остаются ключевыми мерами защиты.

Источник: Check Point Research