PHP (рекурсивный акроним для PHP: Hypertext Preprocessor) — это бесплатный язык сценариев с открытым исходным кодом, выполняемый на стороне сервера и используемый в основном для веб-разработки. Согласно трекеру веб-технологий W3Techs, PHP is said to run “nearly 70% of all websites whose programming language can be identified.”
PHP2Shell — это пара критических уязвимостей в самом интерпретаторе PHP, каждая из которых имеет оценку 9.2 по шкале CVSS v4.0. Обе уязвимости позволяют неаутентифицированному злоумышленнику запустить код на веб-сервере с помощью одного специально сформированного веб-запроса или пары запросов до того, как выполнится какой-либо код приложения.
- CVE-2026-109618 эксплуатирует механизм обработки нехватки памяти в PHP;
- CVE-2026-109619 эксплуатирует состояние, оставшееся от предыдущего неудачного запроса на том же воркере.
Поскольку ошибка кроется в PHP, а не в WordPress, Drupal или Magento, под угрозой оказывается каждая доступная конечная точка PHP на уязвимом сервере, включая страницы входа, статические формы и проверки работоспособности.
Уязвимы все релизы PHP за последнее десятилетие (начиная с версии 5.4). Исправленные версии: 8.5.12, 8.4.27, 8.3.36, 8.2.35. Для PHP 8.1 и более старых версий выпускаются только минимальные бэкпорты исходного кода.
Хронология раскрытия информации о PHP2Shell
Две критические уязвимости в PHP — CVE-2026-109618 и CVE-2026-109619 — прошли путь от частного исследования до активной эксплуатации всего за несколько дней. Ниже представлена хронология событий:
- Август 2026 г.: Calif обнаруживает первые пути удаленного выполнения кода (RCE) во время аудита с поддержкой ИИ и сообщает о них в PHP. Wiz независимо находит эти уязвимости и также сообщает о них в PHP.
- Начало октября 2026 г.: Cloudflare начинает разработку средств защиты Web Application Firewall (WAF).
- 17 октября 2026 г.: AWS сообщает о первых известных попытках атак на Amazon MadPot за четыре дня до запланированного скоординированного раскрытия информации.
- 20 октября 2026 г.: Детали двух критических уязвимостей удаленного выполнения кода в PHP (CVE-2026-109618 и CVE-2026-109619) были опубликованы до скоординированного раскрытия информации PHP Foundation, запланированного на 22 октября 2026 г.
- 21 октября 2026 г.: PHP Foundation досрочно и официально раскрывает информацию об уязвимостях и рекомендует всем обновиться. Экстренные обновления для уязвимых версий программного обеспечения выходят позже в тот же день.
- 21 октября 2026 г. и далее: Исследователи сообщают о массовых попытках эксплуатации.
Как искать активность PHP2Shell в вашей среде?
Давайте найдем активность PHP2Shell с помощью Sumo Logic. Для каждого типа активности вы найдете два поисковых запроса: один для необработанных журналов (raw logs) различных типов, а другой для нормализованных записей для клиентов, использующих Sumo Logic Cloud SIEM.
Два примечания перед началом работы:
- Поисковые запросы по необработанным журналам требуют настройки. Примеры поисковых запросов по необработанным журналам включают операции синтаксического анализа, специфичные для определенного типа источника логов, например, журналов доступа Apache. Они также привязаны к категоризации логов (например, _sourceCategory=linux/system webserver), которую вы назначаете при подключении источника логов. Если вы хотите использовать приведенные здесь примеры поисковых запросов по необработанным журналам, вам, скорее всего, потребуется настроить их под свою среду.
- Поисковые запросы по записям работают «из коробки». Они основаны на нормализованной схеме Sumo Logic Cloud SIEM, поэтому их можно использовать без модификации.
Эти поисковые запросы ищут поведение на веб-сервере после первичной эксплуатации. Они не ищут HTTP-транзакции, которые могут содержать полезную нагрузку эксплойта. Во многих случаях перед вашими доступными из интернета веб-серверами будут стоять такие продукты безопасности, как межсетевые экраны веб-приложений (WAF), и эти продукты будут иметь собственный набор правил обнаружения эксплойтов веб-серверов на основе анализа HTTP. Телеметрия от этих продуктов должна поступать в Sumo Logic для корреляции, оповещения и дальнейшего анализа.
В этом блоге акцент в разработке средств обнаружения делается на поведенческих наблюдениях на веб-сервере, связанных с первоначальной эксплуатацией и последующей активностью в результате успешной атаки. Эти наблюдения затем можно сопоставить с телеметрией от других ваших продуктов безопасности.
Ищите всплески ошибок веб-сервера
Уязвимости PHP2Shell проистекают из ошибок в обработке ошибок PHP, поэтому попытки эксплуатации будут проявляться в виде ошибок на ваших веб-серверах. Используя оператор поиска timeslice в Sumo Logic, вы можете легко оценить, были ли всплески активности ошибок на ваших веб-серверах.
В примере ниже мы подсчитываем количество ошибок на стороне сервера (тех, которые генерируют код ответа HTTP в диапазоне 500-599) в час. Мы можем визуально просмотреть результаты на наличие всплесков.
Обратите внимание, что следующий запрос зависит от создания и заполнения в вашей среде списков стандартных соответствий web_servers или http_servers.
Рисунок 1: всплеск активности ошибок веб-сервера
Определите процессы веб-сервера, порождающие командную оболочку
Если злоумышленник успешно эксплуатирует PHP2Shell, он может выполнить вредоносный код через дочерний процесс веб-сервера или процесса PHP. Запрос ниже определяет распространенные процессы веб-сервера, запускающие полноценную оболочку ОС как в средах Windows, так и Linux.
Рисунок 2: Обнаружение запуска оболочки из nginx
Ищите процессы веб-сервера, выполняющие распространенные команды веб-шеллов
Веб-сервер также может выполнять команды оболочки напрямую, а не через полноценную оболочку ОС. Запрос ниже поможет выявить распространенные команды разведки, сбора учетных данных и эксфильтрации, запущенные в качестве дочерних процессов процесса веб-сервера.
Рисунок 3: удаленная команда wget как дочерний процесс Internet Information Server
Обнаружения в Sumo Logic Cloud SIEM
Существует несколько готовых правил Sumo Logic Cloud SIEM, предназначенных для обнаружения активности веб-шеллов и помощи в выявлении веб-серверов, успешно скомпрометированных через PHP2Shell. Теория обнаружения этих правил совпадает с рассмотренными выше запросами: необычные дочерние процессы веб-серверов и всплески частоты ошибок на веб-серверах.
Следующие правила обнаружения могут помочь вам расследовать потенциальный взлом:
Как упоминалось ранее, вы можете создать более точное обнаружение успешных эксплойтов PHP2Shell, создав правила CHAIN. Правило CHAIN сопоставляет обнаружение PHP2Shell на периферийном устройстве (например, предупреждение WAF) для определенного объекта с логикой обнаружения веб-шеллов из таблицы выше.
Обратите внимание, что эти правила требуют создания и заполнения списков стандартных соответствий. MATCH-S00539 использует список соответствия «web_servers», чтобы ограничить обнаружение выполнением процессов на ваших веб-серверах.
OUTLIER-S00036 и OUTLIER-S00037 требуют наличия списков соответствия «web_servers» или «http_servers» для отслеживания ошибок на стороне сервера. Узнайте, как создать и заполнить список соответствий.
Рекомендации по устранению и митигации последствий PHP2Shell
Рекомендация PHP Group однозначна: обновляйтесь прямо сейчас.
«Кто находится в зоне риска: все инсталляции PHP, обрабатывающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Мы считаем риск наибольшим для mod_php, поскольку продемонстрированный эксплойт here позволяет неаутентифицированному запросу инициировать атаку до запуска какого-либо кода приложения». Прочитайте полные рекомендации PHP Group здесь.
Community analysis shows that successful exploitation gives attackers command execution in the web server user context. Оттуда они могут развертывать веб-шеллы, собирать учетные данные API и баз данных из конфигурационных файлов и перемещаться вглубь внутренних сетей.
Рекомендуется выполнить обновление немедленно. Если вы пока не можете обновиться, используйте описанные выше поисковые запросы и методы обнаружения для мониторинга затронутых серверов на предмет активности после эксплойта, указывающей на успешную атаку.
Если у вас еще нет Cloud SIEM и вы хотите понять, как эта система может помочь вам обнаруживать такие угрозы и реагировать на них, закажите демонстрацию, чтобы узнать больше.
