Amazon: уязвимости PHP2Shell использовались за четыре дня до выхода патчей

Специалисты Amazon Threat Intelligence сообщили, что злоумышленники начали атаковать уязвимости PHP2Shell еще 17 октября 2026 года — за четыре дня до выхода патчей и публичного раскрытия информации о багах. По данным исследователей, сейчас попытки эксплуатации уже носят массовый характер.

Напомним, под общим названием PHP2Shell скрываются две критические уязвимости, недавно исправленные в PHP (CVE-2026-109618 и CVE-2026-109619) и получившие по 9,2 балла по шкале CVSS.

Обе проблемы связаны с обработкой памяти после аварийного завершения запроса. Так, CVE-2026-109618 представляет собой цепочку проблем, в итоге приводящую к повреждению памяти из-за out-of-memory, а CVE-2026-109619 связана с сохранением устаревшего глобального состояния и позволяет добиться use-after-free в хипе. В результате атакующий получает возможность выполнить произвольный код с правами веб-воркера или прочитать содержимое памяти процесса, где могут находиться пароли, API-ключи, токены и другие секреты.

Общий масштаб проблемы огромен. Дело в том, что перед PHP2Shell уязвимы практически все версии PHP начиная с PHP 5.4, то есть проблема затрагивает PHP 5.4, 5.5 и 5.6, все версии PHP 7.x, PHP 8.0 и 8.1, а также PHP 8.2 до 8.2.35, PHP 8.3 до 8.3.36, PHP 8.4 до 8.4.27 и PHP 8.5 до 8.5.12. Фактически уязвимые механизмы присутствовали в коде PHP больше 14 лет (версия PHP 5.4 вышла еще в марте 2012 года).

Специалисты Amazon сообщили, что обнаружили в логах своей сети ханипотов MadPot попытку эксплуатации PHP2Shell, датированную еще 17 октября 2026 года, тогда как раскрытие информации о багах и выход патчей состоялись 21 октября.

По данным исследователей, попытка эксплуатации осуществлялась с IP-адреса, связанного с коммерческой сетью анонимизации. По словам ИБ-директора Amazon Си-Джея Мозеса (CJ Moses), попытка походила на активность реального атакующего, хотя неясно, откуда тот мог получить сведения об уязвимости, которая в тот момент еще находилась под эмбарго. Представители Amazon описывают эту активность как единичную пробу.

Однако 21 октября ситуация изменилась, и специалисты зафиксировали применение сразу нескольких PoC-эксплоитов, а также новые попытки атак из другой анонимизированной инфраструктуры. При этом различия в пейлоадах и источниках трафика свидетельствовали об участии в атаках сразу нескольких групп злоумышленников.

В Amazon предупреждают, что нельзя считать 21 октября начальной точкой возможной компрометации: проверять логи и телеметрию следует начиная с 17 октября.

После публичного раскрытия информации о PHP2Shell объем атак начал расти. По данным аналитиков Cloudflare, за 10 часов до выхода официальных обновлений уже фиксировались тысячи попыток эксплуатации. Через 45 минут после публикации патчей счет пошел на десятки тысяч, еще через два часа — на сотни тысяч, а затем количество попыток атак возросло до миллионов.

При этом атакующие начали адаптировать пейлоады под защиту. Специалисты Cloudflare заметили, что злоумышленники изменяют запросы, пытаясь обходить WAF-правила, и, судя по всему, отслеживают объем срабатываний и стараются подстроить атаки под логику работы фильтров.

Впрочем, специалисты компании watchTowr отмечают, что многие опубликованные в сети PoC-эксплоиты вообще не работают и лишь проверяют разницу в таймингах или попросту приводят к аварийному завершению работы целевой системы. Это подтверждают и исследователи из компании JFrog, которые пишут, что GitHub уже заполонили сомнительные PoC-эксплоиты. Специалисты обнаружили как фейковые эксплоиты, так и откровенно шуточную малварь. Например, один из таких «эксплоитов» попросту меняет обои на рабочем столе жертвы на NSFW-контент.

При этом аналитики CrowdStrike отмечают, что обнаружить реальную атаку может быть непросто. Так как эксплуатация может произойти еще до запуска кода веб-приложения, воркер продолжит работать, сервер будет отвечать HTTP 200, а в логах не появится ничего подозрительного. Единственным свидетельством эксплуатации бага может стать ошибка о превышении лимита памяти в журнале веб-сервера, на которую легко не обратить внимания.