PHP2Shell атаковали госорган Европы: хэши паролей получены за два часа
Эксплуатация критических уязвимостей PHP2Shell CVE-2026-109618 и CVE-2026-109619 затронула европейский государственный орган: по наблюдениям Palo Alto Networks Unit 42, за два часа после первоначального проникновения атакующие получили доступ к хэшам паролей и секретам многофакторной аутентификации. Затем они создали туннель NTLM-релея к Active Directory и попытались повысить привилегии до Domain Admin.
Обе уязвимости при стандартных конфигурациях PHP могут приводить к удалённому выполнению кода. Cloudflare сообщила о миллионах попыток эксплуатации после публичного раскрытия проблемы. Масштаб риска связан с распространённостью PHP: Bitsight насчитывает почти 37 млн доступных из интернета систем с PHP или связанным ПО.
Признаки автоматизированной работы после взлома
Unit 42 зафиксировала перечисление скомпрометированного хоста и команды, поведение которых может указывать на работу агентной ИИ-системы. Злоумышленник исследовал базу аутентификации с украденными учётными данными, искал хэши и секреты двухфакторной аутентификации, а также выполнял анонимные LDAP-запросы к контроллеру домена через curl.
Кроме того, атакующий проверял интеграцию DNS и Active Directory, внутренние хосты, привилегированные группы и интерактивные пользовательские сеансы. Пакеты команд были разделены метками вроде ==SHELLUSER== и ==PASSWD==. Такие разделители формируют машиночитаемый вывод, который, как отметила Unit 42, может использовать модель ИИ.
Низкоинтенсивное сканирование и возможная связь с Lazarus
CYFIRMA выявила отдельную кампанию, в которой 21 скомпрометированный узел проверял PHP-инфраструктуру по всему миру на наличие PHP2Shell. В выборку вошли 216 непатченных или лишь частично защищённых хостов в США, Японии, Южной Корее, Таиланде, Индонезии, Австралии, Тайване, Индии, Сингапуре, ОАЭ, Саудовской Аравии и странах ЕС.
Среди целей оказались госорганизации, финансовые учреждения, логистические компании, аэропорты и авиационные структуры, производственные предприятия и платформы онлайн-транзакций. CYFIRMA описывает сканирование как низкообъёмное и медленное: узлы ротируются и прекращают работу при первых признаках блокировки или ограничения частоты. Активность координировалась через закрытый канал I2P; аналитики со средней уверенностью связывают оператора с экосистемой Lazarus Group.
Что искать в журналах и как закрыть риск
ReliaQuest воспроизвела CVE-2026-109618 в контролируемой лаборатории и назвала последовательность артефактов для обнаружения: POST-запрос возвращает ошибку 500, PHP сообщает об исчерпании памяти и повреждении кучи, а обрабатывающий запрос процесс Apache аварийно завершает работу. Такие события следует сопоставлять между журналами PHP, Apache access, Apache error и системными логами.
PHP Foundation также предупредила о третьей RCE-уязвимости CVE-2026-115560, проявляющейся только при необычном сочетании настроек и кода приложения. Для её возникновения приложение должно переключать обработчик сериализации с php_binary или php_serialize на php через ini_set() перед session_start(), при включённом отслеживании хода загрузки.
Для бизнеса первоочередная мера — обновить PHP на самих серверах: Bitsight подчёркивает, что изменение кода приложения, обновление плагина или WAF не устраняют дефект рантайма. Параллельно стоит проверить доступные извне системы, журналы на указанную цепочку ошибок и сегментацию доступа к Active Directory, поскольку наблюдаемая атака быстро перешла от веб-уязвимости к учётным данным и доменной инфраструктуре.