Подтверждены эксплуатируемые в дикой среде критические уязвимости PHP2Shell RCE
Две уязвимости удалённого выполнения кода в PHP (CVE-2026-109618 и CVE-2026-109619) подтверждены как активно эксплуатируемые, что привело к выпуску патчей и рекомендациям по смягчению.
Две критические уязвимости удалённого выполнения кода (RCE) в PHP, каталогизированные как CVE-2026-109618 и CVE-2026-109619 и совместно известные как PHP2Shell, подтверждены как использованные в реальных атаках. Детекция и реакция руководителя Adel Karimi в Perplexity сообщили, что данные ловушки (honeypot) зафиксировали успешный RCE против сервера Apache mod_php с PHP 8.4.26, включая декодированный дамп cookie объёмом 800 КиБ и последующее выполнение полезной нагрузки.
"Это теперь подтверждённый RCE с раскрытием используемой памяти, а не просто сбой, за которым последовал подозрительный процесс. Ответ предоставил 800 КиБ декодированный дамп cookie, и адрес функции, полученный из этого дампа с использованием смещений публичного эксплойта, появляется в последующем полезном нагрузке," — сказал Карими.
"Клиент подтвердил полный ответ; команда оболочки затем выполнилась примерно через 1,6 мс после последнего зафиксированного байта запроса на выполнение."
Исследователь угроз Маркус Хатчинс из Expel, который отслеживал сообщения о PHP2Shell, описал результаты как самое детальное подтверждение эксплуатации в дикой среде на сегодняшний день.
"Это, безусловно, самое качественное подтверждение эксплуатации php2shell в дикой среде, которое я видел до сих пор. Глубокий технический разбор успешной попытки эксплуатации против установки Apache mod_php с PHP 8.4.26," — прокомментировал он.
Команда безопасности PHP выпустила патчи для уязвимостей 21 октября после рекомендаций, призывающих администраторов оперативно применять обновления. Хотя доказательства концепции эксплойтов и детали уязвимостей были утекшими до патчей, команда заявила, что ни один из публично доступных эксплойтов не был функционален.
Несколько фирм по безопасности, включая Cloudflare, Hadrian, watchTowr, Previdian и Patchstack, сообщили о обнаружении попыток эксплуатации до публичного раскрытия, но классифицировали их как неудачные. Amazon Threat Intelligence наблюдал сканирование и сбор отпечатков за четыре дня до патчей, без подтверждённых компромиссов, согласно команде Threat Research and Cyber Engineering (TRACE) компании Dataminr.
Помимо исправлений PHP2Shell, команда PHP раскрыла отдельную уязвимость RCE, CVE-2026-115560, для которой пока нет патча. Администраторам рекомендуется временно отключить прогресс загрузки сессий, установив session.upload_progress.enabled=0 в качестве временной меры.