F5 ADSP | 22 октября 2026 г.

Каждая команда безопасности знает этот момент: публикуется критическая уязвимость, и первый вопрос уже звучит не «Что нам исправлять?», а «Что защищает нас, пока мы это исправляем?»

С PHP2Shell у специалистов по защите не было даже обычной форы. Подробности протекли 20 октября, до появления какого-либо патча, и, по имеющимся данным, злоумышленники уже эксплуатировали уязвимость еще до выхода исправлений на следующий день.

21 октября проект PHP выпустил экстренные исправления для CVE-2026-109618 и CVE-2026-109619 — двух уязвимостей удаленного выполнения кода без аутентификации, которые затрагивают почти каждый PHP-сервер в интернете. Злоумышленнику не нужно входить в систему. Ему достаточно получить доступ к серверу и отправить специально сформированный запрос на загрузку файла, вызывающий нехватку памяти в PHP на полпути. Затем PHP доверяет поврежденной памяти, и злоумышленник может направить его на выполнение собственного кода — и все это до того, как само приложение выполнит хотя бы одну строчку. Это означает, что запрос должен быть остановлен еще до того, как он достигнет PHP.

Этим уязвимостям уже десятки лет. Новым является то, как они стали пригодными для эксплуатации. По словам исследователей Wiz, раскрывших их: «Передовые модели ИИ существенно снизили этот барьер, превратив давний недостаток в эксплуатируемую уязвимость».

Когда ИИ сокращает время от старого бага до рабочего эксплойта, защита должна быть готова еще до того, как появится бюллетень безопасности.

Для клиентов F5, использующих F5 WAF в режиме блокировки — будь то на F5 BIG-IP, F5 NGINX или F5 Distributed Cloud, — она уже была на месте.

WAF на базе ИИ уже блокировал это

Инженеры по безопасности F5 взяли опубликованный концептуальный эксплойт (PoC), создали несколько его вариантов и направили их на приложение, защищенное F5 WAF для Distributed Cloud с включенным WAF на базе ИИ. Они не добавляли ничего специфического для PHP2Shell и не вносили никаких изменений в конфигурацию.

Варианты использовали различные кодировки, размещение полезной нагрузки, методы HTTP и распространенные техники обхода защиты. WAF на базе ИИ остановил их в режиме блокировки. Это реальное предотвращение, а не запись в журнале, которую кто-то прочитает на следующее утро. При этом обычный запрос к тому же приложению прошел без помех.

Вот как выглядел один из таких заблокированных запросов внутри F5 WAF для Distributed Cloud:

Во время тестирования F5 существующие сигнатуры F5 WAF для Distributed Cloud для инъекции сериализации объектов PHP пометили запрос в стиле PHP2Shell в поле отслеживания прогресса загрузки сессии PHP до появления какой-либо специальной сигнатуры для PHP2Shell.

Блокировка с уверенностью, а не со страхом

Обнаружение атаки и достаточная уверенность для ее блокировки — это две разные вещи. Многие команды безопасности держат новые правила обнаружения в режиме только оповещения, поскольку блокировка ошибочного запроса означает отказ реальному клиенту. Для таких команд атака вроде PHP2Shell записывается в журнал, а не останавливается.

WAF на базе ИИ меняет это. В его основе лежит нейронная сеть — тип модели машинного обучения, обученная на реальных данных об атаках из глобального центра операций по безопасности F5. Поскольку модель учится на паттернах атак, а не ждет нового правила, она может распознать свежий эксплойт, который ведет себя аналогично ранее увиденным атакам. Для каждого подозрительного запроса она сопоставляет вредоносные признаки с полученными знаниями, определяет, действительно ли контент вредоносен, и выносит единый вердикт о риске, на который WAF реагирует незамедлительно.

WAF на базе ИИ оценил запрос атаки PHP2Shell в 95 из 100 — критический риск — на основе того, чему он уже научился на прошлых атаках. Лучшая практика: настраивайте систему на тот результат, который вам нужен.

Для PHP2Shell этот вердикт составил 95 из 100. Вредоносные запросы были заблокированы на месте, а легитимный трафик продолжал поступать.

Именно сдвиг в этом направлении важен для бизнеса. Когда вы работаете в режиме блокировки, вы блокируете с уверенностью. Вам не нужно беспокоиться о том, что безопасность затормозит бизнес или что служба поддержки будет завалена жалобами от клиентов, которым ошибочно отказали в доступе.

Есть еще одна хорошая новость. Раньше команды не спешили включать правила обнаружения с высокой вероятностью ложных срабатываний из-за страха перед ними. Этот подход больше не актуален. F5 рекомендует включать обнаружение на каждом уровне точности (высоком, среднем и низком) и блокировать запросы, которые WAF на базе ИИ оценивает как высокий или средний риск. Тогда модель видит каждый доступный сигнал и берет на себя работу по отсеиванию ложных тревог.

Виртуальное патчение закрывает окно уязвимости

PHP2Shell — не исключение. Согласно Mandiant’s M-Trends 2026 report, в среднем злоумышленники начинают эксплуатировать уязвимости примерно за семь дней до появления патча. С другой стороны, по данным Verizon 2024 Data Breach Investigations Report, организациям требуется около 55 дней, чтобы исправить хотя бы половину критических уязвимостей, находящихся под атакой. Сложите это вместе, и большинство организаций остаются незащищенными неделями.

Виртуальное патчение помогает закрыть этот разрыв. Это не просто отдельная функция продукта, а концепция: все, что нейтрализует действие уязвимости без обновления самого уязвимого ПО. Сигнатура WAF, блокирующая эксплойт, — это виртуальный патч. То же самое относится к правилу политики безопасности, написанному под конкретную уязвимость, или к модели, распознающей атаку такой, какая она есть. В каждом случае вредоносный трафик останавливается на пути передачи данных и не достигает уязвимого кода, пока разработчики устраняют проблему в плановом порядке.

Именно это и произошло с PHP2Shell. F5 WAF во всех решениях (F5 Distributed Cloud, F5 BIG-IP и F5 NGINX) уже обеспечивал защиту с помощью существующих сигнатур еще до появления специализированных правил для PHP2Shell.

Поскольку мы придерживаемся принципа эшелонированной защиты, исследователи угроз F5 не остановились на этом. Команда выпустила специализированные сигнатуры для CVE-2026-109618 и CVE-2026-109619 для всех этих продуктов, добавив еще больше защиты к той, что уже была у клиентов. Подробности о сигнатурах и их доступности по продуктам приведены в бюллетене безопасности F5 (F5 Security Advisory).

Следующая уязвимость уже написана

PHP2Shell — это анонс того, что нас ждет дальше: уязвимости десятилетней давности, превращающиеся в рабочие эксплойты со скоростью ИИ, причем каждая следующая будет появляться еще быстрее. Средства защиты, которые ждут появления нового правила после раскрытия информации, продолжат проигрывать первый раунд. Вот как быть готовыми к этой и следующим угрозам:

Устанавливайте патчи для PHP, когда позволяют рабочие процессы. Большинство команд не могут обновить каждый сервер за одну ночь, и именно этот разрыв призвано закрыть виртуальное патчение.
Убедитесь, что ваш WAF блокирует, а не наблюдает. WAF в режиме мониторинга фиксирует атаку, но не останавливает ее. Проверьте, что политики, защищающие PHP-приложения, находятся в режиме блокировки.
Включите WAF на базе ИИ и предоставьте ему все сигналы. Включите обнаружение на всех уровнях точности, блокируйте запросы с высоким и средним уровнем риска и убедитесь, что специализированные сигнатуры PHP2Shell активны.
Применяйте специализированные сигнатуры PHP2Shell по мере их выхода и отслеживайте их доступность для ваших продуктов в F5 Security Advisory.
Ищите признаки попыток эксплуатации. Проверьте недавний трафик на наличие необычных multipart-запросов, за которыми следуют ошибки превышения лимита памяти PHP или повторяющиеся ответы HTTP 500. Также обращайте внимание на неожиданно большие cookie-файлы ответа PHPSESSID и необъяснимые перезапуски рабочих процессов PHP.
Сократите поверхность атаки. Ужесточите ограничения на размер запросов и загружаемых файлов, а также отключите конечные точки загрузки, которые не требуются вашим PHP-приложениям.

Вы не можете контролировать, когда будет обнародована следующая уязвимость. Но вы можете контролировать свою готовность к этому моменту.

В бюллетене безопасности F5 Security Advisory содержится достоверная и актуальная информация о влиянии на продукты, идентификаторах сигнатур, мерах по смягчению последствий и доступности предстоящих исправлений.

Об авторах

Мухаммад Абид — старший директор по маркетингу продуктов в области безопасности приложений и WAAP в компании F5. Обладая более чем 20-летним опытом масштабирования бизнеса в сфере сетевых технологий и кибербезопасности в компаниях Netskope, Cisco, Juniper и Fortinet, Мухаммад курирует портфель унифицированных решений WAAP компании F5, охватывающий WAF, безопасность API, защиту от ботов и постквантовую криптографию.