После выхода исправлений 21 октября исследователи зафиксировали массовые попытки эксплуатации двух критических уязвимостей PHP. Check Point обнаружила такие попытки у 10% организаций в своей мировой телеметрии и у 14% в Европе. Cloudflare сообщила о тысячах запросов до публикации патчей и миллионах после неё.
Показатель Check Point отражает попытки эксплуатации, а массовые успешные взломы источники не зафиксировали. Amazon и WatchTowr называют активность массовой, тогда как Dataminr к 22 октября наблюдала преимущественно сканирование и неработающие атаки.
Уязвимости CVE-2026-109618 и CVE-2026-109619, вместе получившие название PHP2Shell, позволяют удалённо выполнить код на сервере без авторизации. Это может привести к краже доступных процессу данных, остановке сайта или дальнейшему развитию атаки. Ошибки находятся в среде выполнения PHP, поэтому обновление WordPress, Magento, другой системы управления сайтом или её плагинов их не устраняет.
Читайте также
Проект PHP выпустил исправленные версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Для PHP 7.4, 8.0 и 8.1 опубликованы исходные исправления, также обновления могут предоставлять поставщики Linux и долгосрочной поддержки. Системы на PHP 5.4–7.3 необходимо переносить на поддерживаемую ветку.
Censys обнаружила более 4,18 млн доступных из интернета серверов и около 67,6 млн веб-ресурсов на PHP. Эти показатели отражают весь видимый контур, а их рост частично связан с улучшением обнаружения; один сервер может обслуживать несколько ресурсов.
Владельцам сайтов следует:
- Проверить фактическую версию PHP на серверах и в контейнерах.
- Установить исправленную версию или подтверждённый патч поставщика.
- Перезапустить процессы PHP и убедиться, что используется обновлённая сборка.
- Проверить журналы, незнакомые PHP-файлы, запуск системных команд веб-процессами и соединения с неизвестными адресами.
Если PHP управляет хостинг-провайдер, у него нужно запросить номер установленной версии и подтверждение применения исправления.