Эксплуатация PHP2Shell затронула госструктуру: признаки ИИ-ассистированного взлома

Исследователи в области кибербезопасности сообщают об активной эксплуатации уязвимостей, объединённых общим названием PHP2Shell и отслеживаемых как CVE-2026-109618 и CVE-2026-109619. Помимо самого факта атак, тревогу вызывает характер действий злоумышленников: наблюдаются признаки применения агентных платформ искусственного интеллекта для постэксплуатационной активности, а также масштабное сканирование в глобальном масштабе. Инцидент показателен тем, что демонстрирует сокращение времени от первоначального проникновения до хищения критичных учётных данных.

Подробности

Согласно имеющимся данным, в одном из случаев атакующие выбрали целью государственную организацию в Европе. В течение двух часов после первоначальной эксплуатации им удалось получить доступ к хэшам паролей и данным multi-factor (MFA). Это указывает на высокую скорость развития атаки и, вероятно, на автоматизацию действий на этапе постэксплуатации. Отдельно отмечается использование агентных ИИ-платформ для активности после компрометации. Такой подход позволяет злоумышленникам быстрее выполнять разведку внутри среды, перебор учётных данных и горизонтальное перемещение. Одновременно фиксируется глобальное сканирование, направленное на выявление уязвимых систем, что повышает вероятность массовых атак на организации, не устранившие уязвимости PHP2Shell. Уязвимости CVE-2026-109618 и CVE-2026-109619 относятся к семейству PHP2Shell; конкретные затронутые продукты и версии в исходном сообщении не детализируются. Тем не менее сам факт эксплуатации подтверждает, что уязвимости представляют практическую угрозу и уже используются в реальных атаках.

Что делать

Организациям рекомендуется незамедлительно провести инвентаризацию PHP-компонентов и выявить системы, подверженные CVE-2026-109618 и CVE-2026-109619, а затем установить доступные обновления или применить компенсирующие меры. Следует усилить мониторинг подозрительной активности, особенно в первые часы после возможной компрометации, поскольку атаки развиваются крайне быстро. Дополнительно стоит пересмотреть политику в отношении MFA и хранения паролей: ротация учётных данных и использование устойчивых к перебору механизмов аутентификации снижают ценность похищенных хэшей. Не лишним будет ограничить внешнюю экспозицию сервисов, чтобы уменьшить поверхность атаки для глобального сканирования, и проверить журналы на предмет аномального поведения, характерного для автоматизированных ИИ-инструментов. Итог: эксплуатация PHP2Shell уже привела к компрометации госструктуры, а применение ИИ на этапе постэксплуатации делает атаки быстрее и опаснее — организациям необходимо срочно закрыть уязвимости и усилить мониторинг.

Источник: The Hacker News