Amazon заметила попытку атаки PHP2Shell до публичного раскрытия
Amazon Threat Intelligence обнаружила попытку эксплуатации PHP2Shell 17 октября 2026 года — за четыре дня до публичного раскрытия CVE-2026-109618 и CVE-2026-109619. Обе уязвимости в ядре PHP имеют оценку CVSS 9,2 и позволяют удалённо выполнить код до аутентификации на затронутом сервере.
Запрос был направлен на сервис ловушек MadPot с IP-адреса 103.216.220[.]92, геолокированного в Австралии и связанного с коммерческой сетью анонимизации. Amazon не установила, как атакующий получил сведения об эксплуатации до раскрытия, но отметила, что цель и способ подключения указывают на действия злоумышленника.
Какие версии и точки входа затронуты
Проблемы обнаружили исследователи Calif, OpenAI и Wiz, принадлежащей Google. Они присутствуют во всех выпусках PHP веток 7.x и 8.x. Уязвимым может оказаться любой доступный извне PHP-эндпоинт на сервере: статическая форма, маршрут входа или проверка работоспособности.
CrowdStrike подчёркивает, что атака не зависит от используемой CMS, фреймворка или плагинов. Для эксплуатации не нужно обходить аутентификацию, похищать сессию или искать специальный уязвимый маршрут. При этом приложение может возвращать HTTP 200, а рабочие процессы PHP оставаться стабильными, поскольку код приложения не запускается.
По оценке CrowdStrike, единственным серверным следом может стать фатальная ошибка лимита памяти в журнале ошибок веб-сервера. Такой сигнал легко принять за обычный шум, поэтому традиционной телеметрии веб-приложения может не хватить для выявления скомпрометированных узлов.
Утечка ускорила появление атак
Координированное раскрытие планировалось на 22 октября в 14:00 UTC, однако сведения об идентификаторах CVE и демонстрационный код утекли раньше. PHP Foundation перенесла публикацию исправлений на день вперёд. Amazon зафиксировала несколько PoC-эксплойтов уже в день релиза: самый ранний — 21 октября около 02:00 UTC, затем в течение шести часов последовали новые попытки с анонимизированной инфраструктуры.
ELLIO увидела первый запрос к своим сенсорам 21 октября в 08:36 UTC. Компания связала это с тем, что Chainguard до снятия эмбарго опубликовала образы со встроенным исправлением. PHP Foundation заявила, что доступ к бинарному исправлению позволял изучать его, пока остальные пользователи PHP ожидали официальный выпуск.
Cloudflare наблюдает атаки на клиентов и попытки менять полезную нагрузку для обхода защитных правил. Pantheon сообщил о блокировке более 60 тысяч подозрительных запросов. VulnCheck обнаружил PHP на 2 608 039 доступных из интернета хостах; свыше 700 тысяч из них используют версии от PHP 3.x до 7.3.
Что проверить организациям
Национальный центр кибербезопасности Великобритании и американское агентство CISA призвали оперативно установить исправления либо рассмотреть отключение уязвимых систем. ФБР рекомендует отслеживать неожиданный запуск командных оболочек процессами PHP и загрузку файлов, а также включить мониторинг процессов.
Практический приоритет для компаний — составить перечень сервисов и продуктов со встроенным PHP, определить ответственных за обновление и развернуть исправления. Дополнительно следует проверить журналы ошибок веб-серверов и средства мониторинга процессов: при PHP2Shell привычные признаки на уровне приложения могут отсутствовать.