ТОП-5 ИБ‑событий недели по версии Jet CSIRT

Сегодня в ТОП-5 —  PHP2Shell: RCE-уязвимости в PHP, критическая уязвимость в GitLab допускает неаутентифицированный RCE, атакующие захватили более 300 Tor exit-нод для перехвата SSH-подключений, активная эксплуатация уязвимости PAN-OS, цепочка WP2Shell позволяет захватить WordPress без пароля.

1. PHP2Shell: RCE-уязвимости в PHP

В PHP обнаружены две уязвимости — CVE-2026-109618 (CVSS: 9.8) и CVE-2026-109619 (CVSS: 8.1), которые позволяют удалённо и без аутентификации выполнить код на сервере. Ошибки возникают из-за некорректных данных в памяти после прерванного запроса. Первые попытки эксплуатации уязвимостей зафиксированы до публикации патчей. При этом одна из подтверждённых цепочек атаки использует механизм session.upload_progress, включённый по умолчанию. Уязвимы версии ниже 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Под угрозой PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Рекомендуется обновить PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35, а также проверить логи с 20 октября на признаки выполнения веб-сервером командных оболочек, curl и wget.

2. Критическая уязвимость в GitLab допускает неаутентифицированный RCE

GitLab выпустила исправления для уязвимости CVE-2026-110264, которая позволяет неаутентифицированному атакующему выполнить произвольный код на сервере. Проблема вызвана целочисленным переполнением при компиляции специально сформированного регулярного выражения во встроенном движке Ruby Onigmo и затрагивает все версии, начиная с 7.0, выпущенной в 2014 году. Исправления выпущены сразу для семи веток: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. Признаков эксплуатации не зафиксировано. GitLab опубликовала две сигнатуры для обнаружения попыток эксплуатации — «Onigmo native worker crash» и «Org mode render error burst».

3. Атакующие захватили более 300 Tor exit-нод для перехвата SSH-подключений

В начале октября атакующие взяли под контроль более 300 Tor exit-нод и перенаправляли SSH-подключения на 12 серверов перехвата, собиравших логины и пароли. Злоумышленники изменяли exit policy в torrc, открывая порт 22, а также закрывали шифрованные почтовые порты IMAPS и POP3S, открывая вместо них открытые POP3 и IMAP. Перехват затрагивал только парольные SSH-логины через Tor со 2 по 5 октября при условии принятия host key сервера перехвата, ключевая аутентификация таким способом не компрометируется. На пике 4 октября такие ноды составляли 7,46% exit-ёмкости Tor. Tor Project начал помечать ноды 4 октября, к 5 октября в консенсусе их не осталось. Рекомендуется сменить пароли, вводившиеся при SSH-подключении через Tor в указанный период.

4. Активная эксплуатация уязвимости PAN-OS

Специалисты Unit 42 выявили новую волну атак с использованием уязвимости CVE-2026-0257 (CVSS: 9.1) в PAN-OS GlobalProtect. Среди атакующих были замечены группировки Spikey Scorpius (Qilin), Tarnished Scorpius (Inc), а также операторы Settra ransomware. Атакующие получают начальный доступ в сеть, обходят MFA и устанавливают VPN-сессию, затем проводят разведку через RMM-инструменты, перемещаются по RDP и SMB и готовят эксфильтрацию данных и развёртывание шифровальщика. Отмечен переход на vCenter, отключение защиты на ESXi и офлайн-дамп учётных данных с VMDK контроллера домена. Рекомендуется использовать отдельный сертификат для Authentication Override cookies либо отключить Authentication Override.

5. Цепочка WP2Shell позволяет захватить WordPress без пароля

Исследователи Seqrite описали цепочку из двух уязвимостей в ядре WordPress — CVE-2026-63030 и CVE-2026-60137, которая получила название WP2Shell. Первая уязвимость затрагивает batch-контроллер REST API (/wp-json/batch/v1): вложенные запросы вводят в заблуждение маршрутизацию и позволяют неаутентифицированному атакующему достичь обработчиков, недоступных без аутентификации. Вторая — SQL-инъекция в эндпоинте posts: параметр author_exclude отображается на внутренний author__not_in в WP_Query, что позволяет менять запросы к базе данных. Далее атакующий создаёт привилегированную учётную запись без взлома хешей паролей. Полная цепочка затрагивает WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1, версия 6.8.0–6.8.5 уязвима только к SQL-инъекции. Исправления выпущены в 6.8.6, 6.9.5 и 7.0.2, также включено принудительное автообновление.