🔥🚨 PHP2Shell: шеллы летели за 4 дня до релиза патчей. Разбор критической аварии веб-с...
🔥🚨 PHP2Shell: шеллы летели за 4 дня до релиза патчей. Разбор критической аварии веб-сегмента Только мы с вами обсудили разницу между 0-day и N-day, как подъехала тяжелая артиллерия из мира реальных инцидентов. 🧨 Исследователи Amazon Threat Intelligence сообщили о тревожном факте: их глобальная сеть ханипотов MadPot зафиксировала первые попытки боевой эксплуатации уязвимостей PHP2Shell еще 17 октября 2026 года - за четыре дня до официального снятия эмбарго и выхода спасительных патчей. Сейчас сканеры гудят по всему миру, а эксплуатация приобрела характер ковровой бомбардировки. Давайте разберём, почему интернет трясет и чем этот кейс показателен для каждого безопасника. 👇 🎯 Что такое PHP2Shell и почему все на ушах? Под звучным именем скрываются две критические уязвимости в ядре PHP (CVSS 9.2): CVE-2026-109618 и CVE-2026-109619. Если говорить языком пентестера: это unauthenticated Remote Code Execution (RCE). Злоумышленнику не нужны учетные записи или особые права. Дыра сидит в парсинге запросов multipart/form-data (то, через что браузеры загружают файлы) и срабатывает до того, как управление передается коду вашего сайта. Под угрозой оказывается буквально любой доступный PHP-эндпоинт наружу: от формы обратной связи и страницы авторизации до банального /healthcheck.php. 🕵️♂️ Точка входа и хроника утечки: что настораживает? 1️⃣ Утечка из-под эмбарго: Когда баг находится на закрытом согласовании у вендоров, а атаки уже идут с анонимизированных IP-сетей - это значит, что у кого-то потёк PoC либо злоумышленники независимо обнаружили ту же брешь. 2️⃣ Мгновенная автоматизация: Как только 21 октября патч появился в репозиториях, в течение нескольких часов вышли публичные эксплойты, и волна атак накрыла сотни тысяч серверов. 🛡 Мой взгляд как специалиста по кибербезопасности: Этот инцидент сносит любимый миф админов: «Если об уязвимости объявили в среду, значит, до среды нас никто не трогал». Amazon прямо рекомендует пересматривать логи и инциденты минимум с 17 октября, а не с момента публикации CVE. Если ваш сервер смотрел в сеть на уязвимой версии PHP - исходите из предположения, что к вам уже постучались. ✅ Что делать прямо сейчас (Red & Blue Team гайд): 1️⃣ Немедленно обновите рантайм PHP: Патчи вышли в ветках: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. На версиях 7.x спасения нет - только миграция на актуальные поддерживаемые релизы. 2️⃣ Проверьте веб-логи за последнюю неделю: Ищите аномальные POST-запросы, содержащие маркеры вроде PHP_SESSION_UPLOAD_PROGRESS в теле multipart-форм, а также резкие всплески ошибок переполнения памяти worker-процессов. 3️⃣ Временный костыль (если обновиться сию секунду нельзя): Настройте правила WAF на блокировку или жесткую фильтрацию нестандартного multipart-трафика и ограничьте размер тела запросов на внешнем прокси/балансировщике. 4️⃣ Ищите следы закрепления: Проверьте каталоги /tmp, веб-директории и задачи в crontab на появление свежих веб-шеллов и подозрительных коннектов наружу. Как говорится: тишина после заливки шелла длится ровно до тех пор, пока атакующий не начнет выгружать дампы. 💣 Не надейтесь на удачу - проверяйте логи.