Выявлены две критические уязвимости в интерпретаторе PHP —
CVE- 2026-109618 и CVE- 2026-109619
(проект PHP2Shell). Обе имеют рейтинг CVSS 9.2 и позволяют злоумышленнику
удалённо выполнять код без аутентификации. Исправления вышли 21 октября, однако
первые попытки атак Amazon зафиксировал на своих ловушках ещё 17 числа.
По словам эксперта по информационной безопасности компании «Газинформсервис»
Арсения Мальгинова, уязвимость находится в ядре интерпретатора, поэтому
потенциально уязвим любой сервер, который обрабатывает веб-запросы на PHP:
PHP-FPM, Apache с mod_php, php-cgi.
«После обновления стоит проверить по журналам, не появилось ли новых
.php-файлов и подозрительных процессов, запущенных от имени веб-сервера. Ветки
8.1 и более ранние исправлений не получат, а PHP часто может находиться там,
где о нём вообще забыли, например на веб-интерфейсе мониторинга, сервис-деске
или старом внутреннем портале», — отметил он.
Найти такие серверы можно через Efros
DefOps: модуль ICC собирает перечень пакетов на Linux-хостах,
поэтому версии PHP видны по всему парку, а моделирование векторов атак с
помощью модуля VC на карте сети покажет, какие из уязвимых серверов доступны
извне с учётом правил межсетевых экранов и маршрутизации.
Также эксперт компании «Газинформсервис» рекомендует оперативно обновить PHP до
актуальной версии, а после патчинга проверить журналы веб-серверов на признаки
компрометации.
