PHP2Shell (CVE-2026-109618 и CVE-2026-109619) стала последней уязвимостью, попавшей в заголовки мировых СМИ. По некоторым оценкам, до 70% веб-сайтов используют хотя бы часть PHP. Так что если вы отвечаете за веб-приложения, вы, вероятно, провели последние несколько дней, пытаясь как можно быстрее выяснить, подвержены ли вы риску, и при этом не выводя ваши системы из строя.
Именно поэтому всего через несколько часов после раскрытия информации мы позаботились о том, чтобы вы могли безопасно протестировать систему на уязвимость PHP2Shell с помощью Burp Suite.
В этой статье мы расскажем о тех возможностях, к которым вы теперь имеете доступ в экосистеме Burp Suite, и о том, что вы можете сделать прямо сейчас, чтобы проверить уровень своей защищенности.
Основные моменты
- В Burp AT появился навык, позволяющий агентам проверять наличие PHP2Shell от вашего имени. Узнать больше
- Вы можете сканировать на наличие PHP2Shell в масштабах предприятия с помощью Burp Suite DAST. Просто убедитесь, что вы используете Burp Scanner версии 2026.10.54778 или выше.
- Для Burp Suite Professional теперь доступны проверки сканирования active и passive.
- ActiveScan++ обнаруживает PHP2Shell, поддержка реализована как в Burp Suite Professional, так и в Burp Suite DAST.
Почему это продолжается и происходит все быстрее
ИИ ускоряет обнаружение уязвимостей. Это справедливо как для исследователей, так и для злоумышленников.
На практике это означает две вещи. Во-вторых, критические баги будут все чаще появляться в зрелых, широко используемых системах и кодовых базах. Во-вторых, сокращается время между обнаружением бага и его эксплуатацией.
Именно поэтому скорость реагирования сейчас важна как никогда раньше — как для нас как вендора инструментов, так и для тех из вас, кто тестирует и защищает приложения.
Быстрое предоставление средств обнаружения в ваши руки
Наша миссия — сделать весь веб безопасным. Именно в такие моменты эта миссия проходит проверку на прочность.
Исследовательская команда PortSwigger уловила первые сигналы вокруг PHP2Shell и сразу же предупредила наши инженерные команды. После этого они самостоятельно погрузились в детали, одновременно отслеживая последние события и идеи от более широкого сообщества.
За этим последовала череда непрерывных улучшений во всей экосистеме Burp Suite.
Пассивное обнаружение как можно раньше
Мы смогли выпустить пассивное обнаружение практически сразу с помощью наших API расширяемости, создав пользовательскую проверку сканирования на базе Java и совместимый с DAST BCheck. Джеймс Кеттл (James Kettle) также обновил свое расширение ActiveScan++, которое совместимо как с Burp Suite Professional, так и с Burp Suite DAST.
Этот пассивный подход был довольно ограниченным, но мы хотели быстро дать пользователям хоть что-то в руки, поскольку основной метод обнаружения, циркулировавший в то время, предполагал аварийное завершение работы сервера. Мы выпустили эти проверки немедленно, продолжая работать над более сложными активными проверками.
Активное обнаружение, проверенное на безопасность
Следующим шагом стало активное обнаружение, которое предполагало отправку полезной нагрузки (payload) на сервер. Любой активный зонд может иметь потенциально опасные побочные эффекты, и они не всегда очевидны с первого взгляда.
Время по-прежнему имело решающее значение, поэтому было принято решение выпустить их в качестве пользовательских проверок сканирования. Тем не менее, мы позаботились о том, чтобы запустить активные проверки на различных серверах и версиях PHP, чтобы быть уверенными в том, что мы не выпускаем инструмент, который заставит пользователей распылять полезные нагрузки на свои производственные системы и случайно выведет из строя уязвимые.
После выпуска вы сможете с уверенностью запускать активное и пассивное обнаружение в своих приложениях.
В следующем релизе Burp Suite Professional эти проверки будут нативно интегрированы в Burp Scanner.
За пределами сканера: навыки Burp AT для обнаружения PHP2Shell
На конференции Black Hat USA 2026 мы представили Burp AT — наше решение для внедрения инструментов на базе агентов в ручной пентестинг. Одной из его особенностей является библиотека специализированных навыков пентестинга, в том числе разработанных исследовательской командой PortSwigger.
Теперь эта библиотека включает навык для PHP2Shell, так что вы можете просто попросить агента протестировать систему на его наличие.
- Согласованная и проверенная методика. Ключевым преимуществом этих специализированных навыков является то, что Burp AT следует последовательному и проверенному подходу. Это важно для такого бага. AI-агент общего назначения, которого попросили «проверить на PHP2Shell», вполне мог бы применить деструктивный зонд, наносящий реальный ущерб.
- Всегда актуально. Мы продолжаем активно совершенствовать методологию обнаружения и можем в любой момент добавлять новые и обновленные навыки в библиотеку Burp AT. Если вы используете Burp AT, ваши агенты будут идти в ногу с последними разработками без необходимости проверять наличие обновлений. Каждое выполнение использует текущую версию навыка.
- Детерминированные защитные механизмы. При использовании агентного ИИ для тестирования на наличие таких опасных уязвимостей, как PHP2Shell, необходимо сочетать возможности рассуждения со строгими ограничениями. В дополнение к навыкам, направляющим агентов к более согласованному и эффективному подходу, надежный и детерминированный каркас Burp Suite гарантирует, что агенты не выйдут за рамки области видимости и не выполнят рискованные действия без вашего одобрения.
Все пользователи Burp Suite Professional получают бесплатное ежегодное использование Burp AT, так что попробуйте его прямо сейчас, если вы еще этого не сделали. Открыть Burp AT
Масштабируемое сканирование
Активное обнаружение теперь встроено в Burp Suite DAST, так что вы можете сканировать на наличие PHP2Shell во всех своих веб-ресурсах в больших масштабах. Просто убедитесь, что вы используете Burp Scanner версии 2026.10.54778 или выше.
Что делать дальше
Подводя итог, вот способы проверки вашей подверженности рискам в экосистеме Burp Suite:
- Пользователи Burp Suite Professional: Сканируйте тестируемые приложения с помощью ActiveScan++ или пользовательской проверки сканирования. ActiveScan++ является предпочтительным вариантом, так как он будет автоматически обновляться по мере его доработки. Нативное обнаружение сканером появится в следующем релизе Burp Suite.
- Клиенты Burp Suite DAST: Запустите сканирование по всей своей инфраструктуре. Встроенная проверка сканирования PHP2Shell уже встроена. Обратите внимание, что ActiveScan++ также доступен для Burp Suite DAST. Просто убедитесь, что вы используете Burp Scanner версии 2026.10.54778 или выше.
- Пользователи Burp AT: Попросите агента протестировать систему на PHP2Shell. Он автоматически вызовет свой новый навык для выполнения этой задачи. Открыть Burp AT
- Еще не пробовали Burp AT? Все пользователи Burp Suite Professional получают бесплатное ежемесячное использование, так что вы можете попробовать его бесплатно. Узнать больше
Анджей Матыкевич (Andrzej Matykiewicz)
