CISA добавила две критические уязвимости PHP2Shell в список эксплуатируемых уязвимостей, установила срок федерального патча
CISA включила CVE-2026-109618 и CVE-2026-109619 в каталог известных эксплуатируемых уязвимостей и дала федеральным гражданским агентствам до 29 октября время для установки исправлений.
Агентство по кибербезопасности и инфраструктурной безопасности США (CISA) включило две критические уязвимости PHP2Shell, CVE-2026-109618 и CVE-2026-109619, в свой каталог известных эксплуатируемых уязвимостей (KEV). Федеральным гражданским агентствам теперь предоставлен срок до 29 октября для устранения этих недостатков, которые оцениваются в 9,2 по шкале CVSS и могут быть использованы без аутентификации для выполнения кода на уязвимых серверах PHP.
Исправления для затронутых версий PHP были выпущены 21 октября, но Amazon Web Services зафиксировала попытки эксплуатации уже 17 октября, до публичного раскрытия уязвимостей. Исследователь безопасности Адель Карими зафиксировал 35 успешных запусков шелла на ловушках, работающих под PHP 8.4.26, приписывая активность CVE-2026-109618. Отдельный мониторинг лаборатории Threat Intelligence Delft University выявил более 50 000 запросов эксплуатации от более чем 600 IP-адресов в 70 странах, при этом 171 адрес доставлял эксплойт-код или загрузчики вредоносного ПО.
Ранние сообщения об успешных атаках позже были пересмотрены; Sophos переклассифицировала свои выводы как сканирующую активность, а Palo Alto Networks отозвала заявления о связи уязвимостей с вторжением в европейское правительственное агентство. CISA не раскрывала конкретные скомпрометированные организации, но подтвердила, что уязвимости активно эксплуатируются.
CISA призывает все организации, включая те, что находятся за пределами федерального правительства, в первую очередь обновиться до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35, в зависимости от ветки выпуска. Системы, работающие на более старых, неподдерживаемых версиях PHP, следует рассмотреть возможность их отключения до обеспечения безопасности.