Две критические уязвимости в PHP, языке программирования, на котором работает большая часть веб-сайтов, интернет-магазинов и интернет-сервисов по всему миру, активно используются злоумышленниками. С тех пор как детали CVE-2026-109618 и CVE-2026-109619, известных как PHP2Shell, просочились в сеть до планового раскрытия, пострадали 10% организаций по всему миру («пострадали» означает попытки эксплуатации, у нас нет возможности узнать, была ли атака успешной), согласно данным Check Point Research. Пик активности приходится на полночь, когда за системами следит меньше специалистов по безопасности. Правительственные учреждения в Нидерландах и Финляндии в качестве меры предосторожности временно отключили некоторые из своих веб-сайтов.
Что такое PHP2Shell и почему это важно
Эти две уязвимости находятся в самом механизме PHP. Из-за этого под угрозой оказывается огромный спектр технологий: веб-сайты и интернет-магазины на базе WordPress, Drupal, Joomla или Magento, платформы общего хостинга, панели управления cPanel и Plesk, а также множество коммерческих приложений. Злоумышленник может использовать эти уязвимости для удаленного запуска собственного кода на уязвимом сервере без прохождения аутентификации. Это может привести к краже данных, атакам на другие подключенные системы или сбоям в работе сервисов.
Ситуация стала более срочной по двум причинам. Детали уязвимостей попали в сеть до запланированной публикации, что дало злоумышленникам фору и сократило время на подготовку защиты. Кроме того, начали распространяться скриншоты инструмента для атак PHP2Shell, нацеленного на эти уязвимости, что свидетельствует о переходе эксплуатации из теоретической плоскости в практическую.
Европа пострадала более чем в два раза сильнее, чем другие регионы
С момента раскрытия информации в Европе пострадали 14% организаций, что более чем в два раза превышает показатели Северной Америки, Латинской Америки и Азиатско-Тихоокеанского региона, где этот показатель составляет 6%. В Африке зафиксирован самый низкий региональный показатель — 4%.
16 из 18 наиболее пострадавших стран находятся в Европе
Самый высокий уровень пострадавших организаций в мире зафиксирован в Венгрии — 38% с момента раскрытия информации. За ней следуют Дания с 32% и Австрия с 28%, а также Швеция и Румыния с 22% каждая. В Португалии, Таиланде и Сербии этот показатель составил по 17%, за ними следуют Германия с 16% и Нидерланды с 15%. В Индии зафиксировано 14%, в Норвегии и Украине — по 13%, а в Чехии, Польше, Испании, Швейцарии и Великобритании — по 12%. Таиланд и Индия — единственные страны вне Европы в этой группе. Сразу за ними идут Турция с 11%, а также Ирландия, Бразилия и Италия с 10%.
Телекоммуникации и образование — самые уязвимые отрасли
В телекоммуникационном секторе зафиксирован самый высокий уровень пострадавших — 20%, что вдвое превышает общемировой показатель. За ним следует сфера образования с 18%. В секторах медиа и развлечений, а также ассоциаций и некоммерческих организаций показатель составил по 16%. В сельском хозяйстве, а также на транспорте и в логистике зафиксировано по 14%, за ними следуют разработка программного обеспечения, здравоохранение и медицинский сектор с 13%. В сфере информационных технологий показатель составил 12%, а в сфере бизнес-услуг — 11%.
В сфере недвижимости, аренды и лизинга; автомобилестроении; аэрокосмической и оборонной промышленности; промышленном производстве; а также в государственном секторе зафиксировано по 9%. В производстве аппаратного обеспечения и полупроводников, производстве потребительских товаров и услуг, финансовых услугах, а также в строительстве и инжиниринге — по 8%. В оптовой торговле и дистрибуции показатель составил 7%, в то время как в энергетике и коммунальном хозяйстве, а также в сфере гостиничного бизнеса, путешествий и развлечений — по 6%. Биотехнологии и фармацевтика показали самый низкий результат среди 13 отслеживаемых отраслей — 5%.
Просто обновить веб-сайт недостаточно
Поскольку уязвимости находятся в PHP, обновление WordPress, другой системы управления контентом или ее плагинов не устранит их. PHP необходимо обновлять непосредственно на сервере. Исправления доступны в версиях PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Версия 8.1 и более старые версии остаются уязвимыми, если в них не было портировано исправление, что делает неподдерживаемые версии источником особой тревоги.
«Когда правительства принимают решение отключить собственные веб-сайты, чтобы не рисковать и не оставлять их уязвимыми, это дает весьма четкое представление о том, насколько серьезно воспринимается данная ситуация», — заявила Шарлотта Уилсон (Charlotte Wilson), руководитель отдела по работе с корпоративными клиентами в Check Point Software Technologies. — «Непосредственная приоритетная задача заключается в обновлении систем, но более глобальный вопрос заключается в том, не стали ли мы слишком зависимы от технологий, которые могут одновременно оставлять уязвимыми столь многие организации».
Что организациям следует предпринять прямо сейчас
- Обнаружить все экземпляры PHP. Нельзя защитить систему, о существовании которой вы не знаете. Проведите инвентаризацию PHP во всей вашей инфраструктуре, включая контейнеры и сторонние продукты.
- Установите патч для PHP на сервере, начиная с систем, имеющих доступ к интернету. Перейдите на исправленную версию и уделите особое внимание тем версиям, которые больше не поддерживаются.
- Согласуйте действия с хостинг-провайдером. Если ваш веб-сайт размещен на внешнем хостинге, напрямую спросите у провайдера, был ли применен патч.
- Перезапустите службы и проверьте их работу. После обновления перезапустите соответствующие службы и убедитесь, что на них действительно запущена исправленная версия.
- Ограничьте доступ к тому, что не удается быстро пропатчить. Ограничьте круг лиц, имеющих доступ к уязвимому сервису, или временно отключите его, пока он не будет защищен.
- Добавьте уровни защиты. Включите блокировку атак, поддерживайте средства защиты в актуальном состоянии и ограничьте связь между веб-серверами и остальной корпоративной сетью, чтобы взлом не мог легко распространиться. Эти меры выигрывают время, но не заменяют обновление PHP.
Как узнать, подверглись ли вы атаке ранее
Установка патча не устранит ущерб или вредоносный код, который злоумышленники могли уже оставить на сервере. Организациям следует проверить наличие признаков компрометации, включая:
- Необъяснимые сбои в работе веб-сервисов
- Появление на веб-сайтах новых или незнакомых PHP-файлов
- Подозрительные запросы к веб-серверам
- Процессы веб-сервера, выполняющие системные команды
- Соединения сервера с неизвестными внешними адресами
Как Check Point защищает вас
- Доступны средства защиты Check Point Intrusion Prevention System (IPS)
- Check Point Web Application Firewall (WAF) упреждающе защищает от php2shell. Мы рекомендуем включить последние сигнатуры в режиме Prevent для обеспечения максимального уровня защиты и видимости
- Check Point Exposure Management может помочь вам в картировании вашей подверженности рискам PHP и ускорении устранения уязвимостей.
Check Point Research продолжает следить за ситуацией и будет обновлять свой анализ по мере появления новой информации. Ознакомьтесь с полным техническим анализом здесь.
