Изследователи по сигурността от Amazon Threat Intelligence заявяват, че атакуващи са започнали да се прицелват в уязвимостите PHP2Shell четири дни преди официалните корекции за сигурност да бъдат пуснати в сряда.

Проследявани като CVE-2026-109618 и CVE-2026-109619, двете критични уязвимости позволяват на атакуващите да постигнат отдалечено изпълнение на код (RCE) върху уязвими системи. Екипът по сигурността на PHP отстрани уязвимостите на 21 октомври, след като ден по-рано призова администраторите да се подготвят да инсталират обновленията веднага щом станат налични.

Джина Питър Банярд, водещ разработчик на ядрото на PHP, предупреди преди разкриването, че прилагането на официалните корекции за сигурност е единствената трайна защита, докато Националният център за киберсигурност на Обединеното кралство (NCSC) поиска от британските организации незабавно да обновят PHP сървърите или да ги спрат от мрежата, докато уязвимостите не бъдат коригирани.

Екипът на PHP посочва, че всичко е вървяло по план до два дни преди координираното разкриване, когато се е наложило целевата дата на публикуване да бъде изтеглена по-рано, считано от 20 октомври, след като част от подробностите за уязвимостите в сигурността на PHP2Shell (включително двата CVE идентификатора и насоките за смекчаване на риска, предоставени на определени доставчици на критична инфраструктура) изтекоха в интернет.

Въпреки че някои концептуални кодове (proof of concept) също бяха публикувани преди пускането на корекциите, екипът по сигурността на PHP заяви, че нито един от тях не е бил работещ.

Докладът на Amazon Threat Intelligence идва след като множество компании за киберсигурност (включително Cloudflare, watchTowr, Previdian, Hadrian и Patchstack) засякоха неуспешни опити за експлоатация преди публичното оповестяване.

„Широко експлоатирани в реални условия“

Според Amazon първите опити за експлоатация са започнали в събота, 17 октомври (четири дни преди пускането на корекциите за PHP2Shell), а атакуващите са приложили множество proof-of-concept експлойти за PHP2Shell броени часове след разкриването, използвайки VPN IP адреси.

„Опитът за експлоатация е възникнал от IP адрес, свързан с комерсиална мрежа за анонимизиране. Докато уязвимостта беше под ембарго, насочването към honeypot система от анонимизиран IP адрес предполага, че дейността е извършена от киберпрестъпник, макар че остава неясно как авторът на заплахата е придобил информация за експлойта преди оповестяването“, заяви директорът по информационна сигурност на AWS Си Джей Моузес.

„Действителният зловреден код и изборът на инфраструктура за анонимизиране варираха, което показва, че става въпрос за множество злонамерени субекти. Техническият анализ продължава и не е ясно дали някой от тези опити би бил успешен в реални системи.“

Моузес също така отбеляза, че уязвимостите PHP2Shell „в момента се експлоатират масово в реални условия“ и предупреди, че „защитниците не бива да приемат датата на публично оповестяване за най-ранната дата на експлоатация“.

PHP (Hypertext Preprocessor) е език за уеб разработка с отворен код, който задвижва до 80% от всички уебсайтове в интернет, включително използващите популярни системи за управление на съдържанието (CMS) като WordPress, Drupal и Joomla.

Към момента VirusTotal проследява повече от 5,1 милиона PHP хоста, достъпни онлайн, като приблизително 3,8 милиона от тях са с поне един порт, отворен за атаки.

След като атакуващите получат валидни идентификационни данни, само 37% от действията им биват блокирани

Общите оценки за превенция могат да прикрият какво се случва след първоначалния достъп. След като атакуващите използват валидни идентификационни данни, превенцията рязко спада.

Докладът The Blue Report 2026 измерва защитите техника по техника чрез 338 милиона симулации, проведени в реални производствени среди на клиенти.