Специалист по обнаружению и реагированию Адель Карими 24 октября зафиксировал рабочую атаку на три сервера-ловушки с PHP 8.4.26 и Apache. PHP2Shell — общее название двух критических ошибок в PHP, которые могут позволить атакующему без авторизации выполнять команды на сервере. В опубликованном техническом отчёте описаны 35 подтверждённых запусков системной оболочки /bin/sh.
Атака соответствовала первой из двух уязвимостей: злоумышленники вызывали нехватку памяти, получали данные из памяти сервера и подстраивали итоговый запрос под конкретную систему. Отчёт не подтверждает отдельного применения второй ошибки.
Все случаи произошли на однотипных исследовательских ловушках с одним рабочим процессом Apache, встроенным модулем PHP (mod_php) и лимитом памяти 128 МБ. Эти данные не показывают, насколько надёжно атака работает с другими конфигурациями серверов. Ранее Amazon и другие компании наблюдали сканирование и многочисленные попытки атак, но доступные прототипы преимущественно завершались ошибками или остановкой PHP.
Команда PHP выпустила исправления для обеих уязвимостей. Пользователям необходимо перейти на PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Для PHP 8.1 и более старых веток следует установить пакет с исправлением от поставщика дистрибутива либо перейти на поддерживаемую версию. Изменение настроек может только снизить риск, полной защитой разработчики называют обновление.
Amazon рекомендует проверять журналы веб-серверов начиная с 17 октября. На попытку атаки могут указывать запросы на отправку данных со служебной строкой PHP_SESSION_UPLOAD_PROGRESS, неожиданные запуски процессов и изменения файлов на веб-серверах.