Когда возникают критические уязвимости, для защиты приложений требуется нечто большее, чем просто быстрый ответ. Это требует ранней аналитики, точности, непрерывной адаптации и доверия клиентов.

21 октября 2026 года были публично раскрыты две критические уязвимости удаленного выполнения кода в PHP — CVE-2026-109618 и CVE-2026-109619 — что создало острую необходимость для организаций защитить свои приложения.

В Akamai наш ответ начался еще до раскрытия информации и отражает более широкую эволюцию нашего подхода к аналитике уязвимостей и защите.

Подготовка до раскрытия информации

Наша команда по исследованию угроз работала напрямую с автором сообщения об уязвимости еще до публичного раскрытия, чтобы проанализировать детали эксплойта и разработать целевые средства защиты, соблюдая при этом отраслевое эмбарго на скоординированное раскрытие информации.

К 10:00 утра по восточному времени (ET), когда уязвимости стали достоянием общественности, компания Akamai развернула Rapid Rule 3000991 на 100% своей сети в режиме оповещения. Существующие средства защиты от внедрения команд также обеспечили дополнительный уровень защиты от выявленных вредоносных нагрузок.

Но развертывание обнаружения — это лишь половина задачи. В глобальном масштабе точность важна не меньше, чем скорость.

Наши команды постоянно оценивали срабатывания правил, выявляли ложные срабатывания и уточняли логику обнаружения перед переходом к активному применению.

10:00 ET: Обнаружение активно по всему миру

10:00 ET: Обнаружение активно по всему миру

12:40 ET: Обновленная логика обнаружения развернута для повышения точности

12:40 ET: Обновленная логика обнаружения развернута для повышения точности

13:36 ET: Управляемое Akamai действие переключено на запрет, что позволило активировать блокировку

13:36 ET: Управляемое Akamai действие переключено на запрет, что позволило активировать блокировку

17:45 ET: Завершены дополнительные уточнения точности

17:45 ET: Завершены дополнительные уточнения точности

Менее чем за четыре часа мы перешли от глобально развернутого обнаружения к активному применению, сбалансировав быструю защиту с доступностью приложений.

Инженерные решения, обеспечивающие скорость: телеметрия в реальном времени и быстрое переключение действий

Переход от первоначального обнаружения к блокировке по всей глобальной периферийной сети требует архитектуры, разработанной как для скорости, так и для отсутствия сбоев в работе платформы, включая:

Замкнутый цикл безопасности и мониторинга

Замкнутый цикл безопасности и мониторинга

Телеметрия срабатываний в режиме, близком к реальному времени

Телеметрия срабатываний в режиме, близком к реальному времени

Переключение управляемых действий за считанные минуты

Переключение управляемых действий за считанные минуты

Замкнутый цикл безопасности и мониторинга

При развертывании экстренных средств защиты команды Akamai по разработке релизов, контролю качества и исследованию угроз для межсетевого экрана веб-приложений (WAF) работают в постоянном взаимодействии, выполняя автоматизированные и контролируемые человеком проверки по всей огромной глобальной сети, чтобы гарантировать, что стабильность платформы никогда не приносится в жертву скорости.

Это обеспечивается трехэтапным развертыванием обновленных средств защиты с постепенно увеличивающимся покрытием сети и встроенным периодом мониторинга для наблюдения за постоянной стабильностью и производительностью платформы.

Телеметрия срабатываний в режиме, близком к реальному времени

По мере развертывания Rapid Rule 3000991 в нашей распределенной сети наши конвейеры телеметрии обеспечивали видимость срабатываний и совпадений правил в глобальном трафике в режиме, близком к реальному времени. Этот цикл обратной связи позволил нашим командам по исследованию угроз немедленно наблюдать за взаимодействием вредоносных нагрузок с шаблонами «живого» трафика во всех уникальных реализациях приложений и API, выявлять граничные случаи и развертывать уточненную логику обнаружения.

Переключение управляемых действий за считанные минуты

Используя нашу недавно выпущенную возможность быстрого изменения действий, наши команды смогли изменить глобальное действие по умолчанию для смягчения попыток эксплуатации в течение нескольких минут, как только были достигнуты пороговые значения уверенности. И все это при том, что клиенты по-прежнему имеют возможность определять свои собственные детальные настройки в соответствии со своими бизнес-потребностями и потребностями приложений.

За пределами первоначальной сортировки: внедрение агентного ИИ в аналитику уязвимостей

Одна из проблем, с которыми сталкиваются команды безопасности, заключается в том, что аналитика уязвимостей постоянно развивается. Новые эксплойты с доказательством концепции (PoC) могут появляться через дни или недели после первоначальной оценки CVE.

Уязвимость, для которой сегодня нет известного эксплойта, может получить его завтра.

В Akamai мы собираем расширенную аналитику уязвимостей, развертывая агентный ИИ для автоматизации сквозной сортировки CVE и непрерывного поиска угроз.

Наши ИИ-агенты работают постоянно, принимая и сортируя запросы CVE, собирая аналитику из разрозненных источников, выслеживая появляющиеся варианты атак и автоматически проверяя их на соответствие нашим существующим правилам защиты (рисунок).

Критически важно, что наши исследователи безопасности сохраняют полный контроль. Объединяя автономное выполнение ИИ с экспертным человеческим надзором, мы устраняем рутинные исследовательские задержки и позволяем нашей исследовательской команде масштабироваться в огромных объемах. Наши эксперты фокусируют свои глубокие знания предметной области на самом важном, что позволяет нам предоставлять более быструю, качественную и непрерывную защиту нашим клиентам до того, как угрозы эволюционируют.

Доверие клиентов — часть ответа

Во время критического события безопасности клиентам нужно нечто большее, чем технические меры по смягчению последствий. Им нужны прозрачность, своевременное руководство и уверенность в том, что их партнер по безопасности активно управляет ситуацией.

На протяжении всего процесса реагирования на уязвимость PHP наши команды активно сообщали об обновлениях и рекомендациях по смягчению последствий.

Крупная компания, предоставляющая финансовые услуги, особо отметила проактивную коммуникацию и слаженное выполнение работы нашей командой, отметив, что им не нужно было постоянно запрашивать обновления, поскольку мы уже регулярно делились с ними информацией.

Другой руководитель по безопасности в крупной глобальной корпорации поделился, что они продвигали фразу «Слава богу, Akamai WAF защищает нас» среди своих руководящих команд. Помимо быстрого смягчения последствий, руководитель по безопасности особо оценил наши интуитивно понятные названия правил, отметив, что четкое указание целевых CVE непосредственно в описании правила дало им немедленную ясность, устранив путаницу, часто вызываемую загадочными идентификаторами.

На пути к непрерывной, адаптивной безопасности

Реагирование на уязвимость PHP демонстрирует, что возможно, когда ранняя аналитика угроз, глобально распределенные средства защиты, быстрое применение мер и проактивное взаимодействие с клиентами работают вместе.

Наши постоянные инвестиции в аналитику уязвимостей с поддержкой ИИ развивают этот подход дальше, помогая исследователям обнаруживать доказательства появляющихся эксплойтов, ускорять оценки и постоянно пересматривать потенциальные риски.

Защита WAF является важным уровнем обороны, пока организации применяют патчи от поставщиков, которые остаются необходимыми.

Для клиентов наше направление ясно: более быстрый доступ к средствам защиты, большая точность, снижение операционной нагрузки и аналитика безопасности, которая не заканчивается на этапе раскрытия информации.

Потому что эффективная безопасность — это не просто реагирование на вчерашние угрозы. Это постоянная подготовка к тому, что будет дальше.

Об авторе

Akamai Security Intelligence Group

Akamai SIG — это глобальная команда исследователей, инженеров, стратегов и специалистов по анализу данных мирового уровня, обладающая широким спектром знаний и опытом в различных дисциплинах безопасности. Наши источники данных включают огромную облачную платформу Akamai, открытые источники, сотрудничество с третьими сторонами и данные из даркнета. Мы также разработали собственные алгоритмы и инструменты, которые помогают нам проводить исследования и поддерживать решения Akamai в области безопасности в актуальном состоянии.

Две критические уязвимости, известные как PHP2Shell, позволяют злоумышленникам добиться удаленного выполнения кода (RCE) на серверах, работающих под управлением PHP 5 и выше.

Исследования в области безопасности

Понимание PHP2Shell: все, что вам нужно знать

Узнайте, как критические уязвимости PHP2Shell (CVE-2026-109618 и CVE-2026-109619) позволяют выполнять удаленный код в PHP, а также ознакомьтесь с ключевыми мерами по их устранению.

Реагирование на уязвимости — это командная работа.

Исследования в области безопасности

TLP — это не рекомендация

Когда обнаруживается уязвимость нулевого дня, спешка с публикацией первой новости оставляет всех беззащитными. Почему соблюдение эмбарго на уязвимости и протокола TLP важнее, чем сенсационные новости.

Клиенты Akamai App & API Protector защищены.

Исследования в области безопасности