Две критические уязвимости в PHP заставили операторов криминальных форумов в спешке защищать собственную инфраструктуру, что показало: субъекты угроз сталкиваются с теми же проблемами управления уязвимостями, что и организации, которые они атакуют.
Основные выводы
- Экономика злоумышленников работает по тем же фундаментальным принципам, что и легальная экономика.
- Самоэвакуация форумов: криминальные форумы, включая BreachForums, инициировали экстренную миграцию инфраструктуры, уйдя в офлайн в течение нескольких часов после раскрытия информации о PHP2Shell, ссылаясь на прямой риск для своей деятельности.
- Подпольные операторы сталкиваются с двойной угрозой: как правоохранительные органы, так и конкурирующие преступные группировки могут использовать PHP2Shell против инфраструктуры форумов, где хранятся данные участников, личная переписка и украденные учетные данные.
- Реакция злоумышленников зеркально отражает процесс реагирования на инциденты в легальных компаниях, включая экстренное исправление уязвимостей, миграцию платформ и планирование непрерывности бизнеса.
- Исторический прецедент с захватом BreachForums в 2024 году приучил криминальных операторов рассматривать уязвимости инфраструктуры как экзистенциальные бизнес-риски.
Предыстория
PHP обеспечивает работу примерно 75% веб-сайтов с идентифицируемой серверной технологией, являясь основой современного интернета. Эта инфраструктура выходит далеко за рамки легального бизнеса. Криминальные форумы, даркнет-маркетплейсы и подпольные коммуникационные платформы полагаются на те же программные стеки на базе PHP, такие как phpBB, кастомные движки форумов и веб-панели администрирования, которые используют их легальные аналоги.
20 октября 2026 года были публично раскрыты две критические уязвимости удаленного выполнения кода без аутентификации в PHP: CVE-2026-109618 (OOM Corruption) и CVE-2026-109619 (Stale Global State), каждая из которых получила оценку 9.2 по шкале CVSS v4.0. Эти две ошибки затрагивают разные этапы управления памятью PHP, и их объединение в цепочку обеспечивает более надежный путь эксплуатации, чем каждая по отдельности. Исследователи приписывают передовым моделям ИИ как первоначальное обнаружение, так и создание цепочки эксплуатации. Tenable Vulnerability Watch классифицировала обе уязвимости как «уязвимости, вызывающие обеспокоенность» (VOC). В течение нескольких часов сообщество кибербезопасности начало привычный цикл оценки, исправления и устранения последствий. (Полный технический разбор см. в нашем блоге «php2shell: Часто задаваемые вопросы о критических уязвимостях удаленного выполнения кода в PHP».)
В то же время уже начался параллельный процесс реагирования, включающий самоэвакуацию криминальных форумов и меры по защите экономики злоумышленников.
«Мы серьезно относимся к своей безопасности»
Экономика злоумышленников работает по тем же фундаментальным принципам, что и легальная экономика. Криминальные операторы инвестируют в инфраструктуру, управляют рисками, планируют непрерывность бизнеса и реагируют на угрозы своей деятельности с той же систематической срочностью, что и любая хорошо управляемая организация. От цепочек поставок украденных учетных данных, которые мы задокументировали ранее в этом году, до чрезвычайной ситуации на уровне инфраструктуры, разворачивающейся сейчас, прослеживается устойчивая закономерность: подполье функционирует как экономика, а у экономик есть поверхности атаки. PHP2Shell затронул обе стороны этого разделения одновременно, и реакция подполья показывает, что изощренные субъекты угроз уже осознали серьезность этой уязвимости.
В течение 48 часов после раскрытия информации о PHP2Shell администраторы нескольких крупных криминальных форумов опубликовали экстренные уведомления для своих сообществ. BreachForums, один из крупнейших англоязычных криминальных маркетплейсов, разместил предупреждение, содержащее фразу, знакомую любому, кто читал уведомление о корпоративной утечке: «Мы серьезно относимся к своей безопасности».
Трудно переоценить иронию ситуации. Платформа, наиболее известная торговлей украденными учетными данными, содействием операциям программ-вымогателей и размещением утечек корпоративных данных, использовала те же формулировки, что и компании из списка Fortune 500 после собственных инцидентов безопасности. Но за заимствованным корпоративным жаргоном скрывалась подлинная операционная срочность.
BreachForums был не одинок. DarkForums опубликовал собственное уведомление об отключении: «DF останется офлайн, пока PHP не будет исправлен глобально». PwnForums ушел в офлайн без объяснения причин. Dread, платформа наподобие Reddit, обслуживающая экосистему Tor, опубликовала уведомление о техническом обслуживании, прямо называющее обе CVE. Несколько форумов временно ограничили регистрацию новых пользователей, а другие перенесли критически важные коммуникации в Telegram-каналы в качестве меры предосторожности, рассматривая свои веб-платформы на базе PHP как потенциально скомпрометированную инфраструктуру.
Двойная угроза
Срочность этих эвакуаций отражает модель угроз, которую легальные организации распознали бы немедленно. Криминальные форумы работают на инфраструктуре PHP, и эта инфраструктура хранит именно те данные, которые делают уязвимость вроде PHP2Shell катастрофической.
Одновременная самоэвакуация является значимым поведенческим индикатором. Анализ от DarkOwl, фирмы, занимающейся разведкой в даркнете, подчеркнул масштаб того, что находится за уровнем PHP-приложений типичного форума: адреса электронной почты участников, логи IP-адресов, личные сообщения, записи о финансовых транзакциях и те самые украденные учетные данные, которые участники загрузили для продажи. Успешная эксплуатация PHP-стека форума не просто нарушила бы работу платформы. Она раскрыла бы личности и операционную безопасность каждого участника.
Операторы форумов сталкиваются с угрозой, с которой не сталкивается большинство легальных предприятий: злоумышленник атакует с двух направлений одновременно. Правоохранительные органы продемонстрировали как способность, так и готовность использовать криминальную инфраструктуру, как показала операция ФБР против программы-вымогателя Hive и многочисленные закрытия форумов. Но конкурирующие преступные группировки представляют не менее серьезную угрозу. Конкурирующие форумы, вымогатели и оппортунистические хакеры — все они заинтересованы во взломе базы данных конкурирующей платформы, чтобы украсть ее пользовательскую базу, шантажировать операторов или устранить конкуренцию.
Эта двойная угроза превращает уязвимость PHP из технической проблемы в экзистенциальный бизнес-риск. Криминальное подполье в последний раз эвакуировало платформы в таком масштабе во время захвата BreachForums в 2024 году, но та реакция была вызвана действиями правоохранительных органов. PHP2Shell — это первый случай, когда техническая уязвимость в общей инфраструктуре вызвала такую же реакцию, что свидетельствует о том, что криминальные операторы теперь рассматривают свою зависимость от PHP как системную единую точку отказа. Они оценивают эту уязвимость точно так же, как CISO оценивает критическую неисправленную уязвимость: вопрос не в том, попытается ли кто-то ее использовать, а в том, когда это произойдет.
Урок BreachForums
Эта институциональная память была сформирована тяжелым опытом. 2024 FBI seizure of BreachForums продемонстрировал на конкретных примерах, что происходит, когда криминальная инфраструктура скомпрометирована.
Этот захват привел к раскрытию операционных данных, аресту администратора форума и прекращению деятельности тысяч активных преступных операций, зависевших от этой платформы. Для теневой экономики это было равносильно серьезному нарушению цепочки поставок: единая точка отказа, вызвавшая каскадный эффект во всей экосистеме.
Урок был усвоен. Преступные операторы начали рассматривать свою веб-инфраструктуру как единую точку отказа, требующую такого же планирования устойчивости, которое легальные предприятия применяют к критически важным системам. PHP2Shell подтвердил эти опасения. Две уязвимости CVE затрагивают все версии PHP ниже 8.3, что означает, что примерно 59% PHP-хостов, доступных из интернета и использующих устаревшие ветки, остаются постоянно уязвимыми при отсутствии обновления версии. Преступные форумы, использующие старые версии PHP, сталкиваются с той же неразрешимой математической задачей, что и любое предприятие с большой базой неподдерживаемого программного обеспечения: патча не существует, и единственным способом исправления является миграция.
От обороны к нападению: экономика эксплойтов
Отношения преступного подполья с PHP2Shell выходят за рамки оборонительных мер. Отчеты разведки указывают на то, что код эксплойта для обеих уязвимостей CVE распространялся по закрытым каналам еще до снятия публичного эмбарго, а эксплуатация до раскрытия информации наблюдалась уже 17 октября с инфраструктуры, отслеженной по IP-адресу, геолокация которого указывает на Австралию.
Конвейер разработки эксплойтов ускорился таким образом, что это должно обеспокоить каждую организацию, использующую PHP. Исследователи задокументировали использование инструментов анализа уязвимостей с поддержкой ИИ для ускорения разработки рабочих эксплойтов и выявления дополнительных векторов эксплуатации в рамках раскрытых классов уязвимостей. Это отражает более широкую тенденцию, при которой те же возможности ИИ, которые ускоряют оборонительные исследования в области безопасности, одновременно сокращают время между раскрытием информации и ее превращением в оружие.
Прогноз монетизации следует схеме, которую мы уже описывали ранее. Экономика учетных данных разработчиков работает на трех уровнях (генерация, распространение и превращение в оружие), и PHP2Shell четко вписывается в каждый из них. Брокеры первоначального доступа будут включать эксплуатацию PHP2Shell в свои сервисные предложения. Партнеры программ-вымогателей будут внедрять эти уязвимости в свои сценарии первоначального доступа. А преступные форумы, которые пропатчили собственную инфраструктуру, станут торговыми площадками для продажи доступа к организациям, которые этого не сделали. Мы видели превью этого цикла коммодитизации во время кампании Miasma, где цепочки инструментов атаки с открытым исходным кодом ускорили эксплуатацию в масштабе. Экономика противника эффективна: те же операторы, которые спешили защитить свои собственные стеки PHP, будут наживаться на организациях, которые не сделали того же.
Что это значит для защитников
Реакция преступного подполья на PHP2Shell, как ни парадоксально, является одним из самых четких доступных сигналов о серьезности уязвимости. Когда субъекты угроз рассматривают раскрытие информации как чрезвычайную ситуацию, требующую немедленного оперативного реагирования, защитники должны соответствующим образом откалибровать свою собственную срочность.
Организациям, использующим PHP, следует рассматривать как CVE-2026-109618, так и CVE-2026-109619 в качестве приоритетных задач для немедленного устранения. Затронута каждая версия PHP ниже 8.3, и патчи не будут выпущены для устаревших веток, включая все версии PHP 5.x, 7.x, 8.0, 8.1 и 8.2. В средах, где немедленное обновление невозможно, следует без промедления развернуть компенсирующие меры контроля, включая межсетевые экраны веб-приложений, сегментацию сети и усиленный мониторинг индикаторов эксплуатации. Преступники уже все исправили. Вопрос для каждой организации заключается в том, сделают ли они то же самое до того, как экономика эксплойтов их настигнет.
Идентификация затронутых систем
Список плагинов Tenable для этих уязвимостей можно найти на отдельных страницах CVE для CVE-2026-109618 и CVE-2026-109619 по мере их выпуска. Эта ссылка отобразит все доступные плагины для данных уязвимостей, включая будущие плагины в нашем конвейере плагинов.
Получить дополнительную информацию
- Каталог известных эксплуатируемых уязвимостей CISA
- Экономика учетных данных разработчиков: почему данные об уязвимостях — это новая передовая в войне цепочек поставок
- Что кампания Miasma раскрывает о новой модели угроз цепочки поставок и подполье
Присоединяйтесь к команде специальных операций по исследованиям (RSO) Tenable на платформе Tenable Connect для дальнейших обсуждений последних киберугроз.
Узнайте больше о Tenable One Exposure Management Platform, платформе управления уязвимостями для современной поверхности атаки.
