CISA подтвердила активную эксплуатацию двух уязвимостей PHP2Shell с возможностью удаленного выполнения кода

В понедельник Агентство по кибербезопасности и инфраструктурной безопасности США (CISA) официально подтвердило, что две недавно исправленные уязвимости в PHP, объединенные названием PHP2Shell, уже эксплуатируются злоумышленниками. Обе проблемы добавлены в каталог Known Exploited Vulnerabilities (KEV) — перечень уязвимостей, факт эксплуатации которых подтвержден, и которые федеральные агентства США обязаны устранять в установленные сроки. Для организаций по всему миру это сигнал о реальной, а не теоретической угрозе.

Подробности

Обе уязвимости получили одинаковый рейтинг 9.2 по шкале CVSS, что соответствует критическому уровню опасности. Они позволяют осуществить неаутентифицированное удаленное выполнение кода (RCE) на уязвимых развертываниях — то есть атакующему не требуется учетная запись или предварительный доступ к системе. Одна из проблем зафиксирована под идентификатором CVE-2026-109618 и связана с ошибкой типа out-of-memory (исчерпание памяти). Именно эта ошибка в цепочке эксплуатации приводит к возможности выполнения произвольного кода. В исходном сообщении CISA упоминаются обе уязвимости PHP2Shell, однако полный перечень затронутых продуктов, версий PHP и точные технические условия эксплуатации в исходной публикации не раскрываются. Ключевой факт: уязвимости уже были закрыты ранее, но подтверждение активной эксплуатации означает, что злоумышленники успели развернуть атаки против неустановивших патчи систем. Включение в KEV переводит эти проблемы из категории «желательно исправить» в категорию «исправить немедленно».

Что делать

В первую очередь необходимо определить, какие версии PHP используются в вашей инфраструктуре и на периметровых сервисах, и сверить их с исправленными сборками. Если обновление еще не установлено — сделать это нужно в приоритетном порядке, не дожидаясь планового окна обслуживания. Далее следует проверить журналы веб-серверов и приложений на предмет аномальной активности, характерной для попыток эксплуатации RCE: подозрительные POST-запросы, необычные параметры, свидетельства исчерпания памяти и последующие попытки запуска процессов. Уязвимость допускает атаку без аутентификации, поэтому особое внимание стоит уделить сервисам, доступным из интернета, а не только внутренним системам. Если по каким-то причинам обновление невозможно, разумно временно ограничить сетевой доступ к уязвимым компонентам средствами межсетевого экрана или обратного прокси. Дополнительно рекомендуется убедиться, что веб-приложения работают с минимально необходимыми привилегиями — это снижает последствия успешной эксплуатации. После установки патчей стоит провести повторную проверку логов за период, когда система оставалась уязвимой. Организациям, подпадающим под требования регуляторов, следует учесть, что включение уязвимостей в KEV формирует формальные сроки устранения — их нарушение фиксируется как невыполнение требований безопасности. Итог: PHP2Shell — критическая угроза с подтвержденной эксплуатацией, и единственная надежная мера защиты — оперативная установка исправлений. Промедление с патчингом в данном случае равносильно оставлению открытого удаленного доступа к серверу.

Источник: The Hacker News