Ню Йорк, САЩ, 28 октомври 2026 г., CyberNewswire

Нова практическа лаборатория позволява на специалистите по сигурност да проучат от първа ръка експлоатацията на PHP2Shell, докато подпомаганите от изкуствен интелект проучвания преобразяват откриването на уязвимости.

OffSec обяви днес пускането на безплатна, интерактивна практическа лаборатория в Proving Grounds Play (PG Play), която да помогне на специалистите по сигурност да изследват и да изградят защита от първа ръка срещу критичните уязвимости „PHP2Shell“ (CVE-2026-109618 и CVE-2026-109619). Разработена в отговор на ускореното от изкуствен интелект откриване на уязвимости и активните атаки, насочени към основните PHP модули в реална среда, лабораторията предоставя на penetration тестерите и защитниците на корпоративни мрежи безопасна, контролирана среда за изучаване на десетилетните дефекти при управлението на паметта и за навременно прилагане на мерки за смекчаване на риска на ниво сървър.

Двата критични проблема се криеха в PHP – езикът, стоящ зад приблизително 70% от уебсайтовете с известен сървърен език – в продължение на повече от десетилетие. След това изследователи от Wiz, компания за облачна сигурност, собственост на Google, насочиха изкуствен интелект към изходния код.

Те откриха първата уязвимост на 19 август. На следващия ден я използваха, за да поемат пълен контрол над сайт на Drupal без парола. Ден по-късно методът сработи и върху WordPress.

От екипа на PHP разкриха уязвимостите на 21 октомври под идентификаторите CVE-2026-109618 и CVE-2026-109619. Атакуващ без необходимост от вход в системата може да изпрати поредица от специално манипулирани уеб заявки, за да срине сървъра или да поеме пълен контрол над него. Оценките за тежест на PHP определят и двете уязвимости като сложни за експлоатация, въпреки че работещи атаки вече съществуваха. Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (CISA) препоръчва незабавно инсталиране на корекции за сигурност.

Атакуващите действат бързо. Amazon определя PHP2Shell като широко експлоатирана в реална среда. До 24 октомври изследователите бяха потвърдили, че нападатели изпълняват команди върху уязвими honeypot сървъри. CISA добави и двата проблема в своя каталог с известни експлоатирани уязвимости (KEV) на 26 октомври.

„PHP е една от онези технологии, които киберпрестъпниците обожават да виждат“, заяви Кийгън Боуен, водещ DevOps специалист в OffSec. „Той е отличен вектор за атака през годините с множество експлойти и потенциал за злоупотреби. PHP не беше проектиран със заложена сигурност от самото начало.“

OffSec, която преподава практическа офанзивна сигурност от 2006 г. насам, пусна безплатна PHP2Shell лаборатория в Proving Grounds Play (PG Play). Лабораторията дава на penetration тестерите и другите професионалисти по сигурност контролирана среда, в която да изследват CVE-2026-109618 и CVE-2026-109619 от първа ръка. В блога на OffSec е направен подробен анализ на двата пропуска, а демонстрационният зловреден код (proof-of-concept) е достъпен в Exploit-DB.

Изкуственият интелект и нарастващото темпо на експлоатация

PHP оцени и двата пропуска с 9.2 от 10, което е критична оценка. За да изградят работеща атака, изследователите от Wiz трябваше да навържат няколко дефекта последователно и да настроят атаката спрямо паметта на всеки конкретен сървър. Когато оставиха изкуствения интелект да свърши тежката рутинна работа, един изследовател завърши за седмица това, което преди отнемаше месеци на елитен екип. Атакуващите могат да използват същите AI модели, така че дефекти, считани някога за твърде сложни, за да представляват заплаха, вече са леснодостъпна цел.

„Към този момент нападателите разчитат силно на изкуствения интелект за намиране и експлоатиране на уязвимости; темпът на поява на CVE е приблизително два пъти по-висок от отчетения миналата година“, сподели Мат Фрейтас-Ставола, щатен софтуерен инженер в OffSec. „Големите езикови модели (LLM) не се изморяват и могат лесно да работят във фонов режим толкова дълго, колкото киберпрестъпниците разполагат със средства или изчислителни ресурси. Дори в момента само намек за това къде може да възникне проблем е достатъчен за един LLM модел да генерира работещ прототип за сравнително кратко време.“

Последиците от тези дефекти

И двете уязвимости започват от едно и също слабо място: начинът, по който PHP реагира, когато дадена заявка изчерпи оперативната памет или предизвика друга фатална грешка.

„PHP е изграден на C и управлението на паметта става все по-голямо предизвикателство с разрастването на кода“, посочи Боуен. „Някои състояния на изчерпване на паметта не се обработваха коректно. В определени случаи атакуващите могат да получат достъп до данни от прекъснато състояние, преди те да бъдат изчистени. Това създава възможност за злоупотреба.“

Това остатъчно състояние може да се пренесе в следващата заявка на същия работен процес (worker). Атакуващ, който го манипулира прецизно, може да изпълни код с правата на уеб сървъра.

Същите пропуски могат също да доведат до изтичане на данни. Wiz демонстрира как злонамерени субекти биха могли потенциално да четат паметта на PHP процеса. Тази памет би могла да съдържа пароли, сесийни токени, API ключове и сертификати от други заявки или от самия сървър.

Случаят продължава да се развива. На 23 октомври екипът на PHP разкри отделна уязвимост, CVE-2026-115560, която може да засегне напълно обновени сървъри с нестандартна конфигурация на сесиите. За нея все още няма разработена корекция за сигурност. Изследователите създадоха и PHP2Shell експлойти, които заобикалят ASLR – стандартна защита на оперативната памет – като при по-нататъшното проучване на дефектите могат да излязат наяве още проблеми. С напредването на изследванията е възможно да се появят нови уязвимости, техники за експлоатация и мерки за защита извън разгледаните тук.

Актуални препоръки от OffSec

Тези стъпки отразяват информацията, известна към момента на публикуване. Проверявайте CISA и проекта PHP за най-актуалните препоръки.

  • Инсталирайте корекции за сигурност за PHP незабавно. Обновете до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35, за да отстраните CVE-2026-109618 и CVE-2026-109619. Проверявайте бюлетините на съответния дистрибутор, вместо да разчитате единствено на номерата на версиите.
  • Обновете базовия PHP модул. Обновяването на WordPress, Drupal или друго приложение не коригира уязвимостите в самия PHP. Прекомпилирайте засегнатите контейнерни изображения и рестартирайте PHP процесите, за да влезе в сила обновеният код.
  • Приложете временни защитни мерки по време на обновяването. Деактивирайте проследяването на напредъка при качване на сесии (session.upload_progress.enabled=0), което смекчава риска и при CVE-2026-115560. При PHP 8.5 изключете проследяването на фатални грешки (fatal error backtraces) и рестартирайте засегнатите работни процеси след промените в конфигурацията. Тези мерки намаляват експозицията, но не заменят инсталирането на корекции за сигурност.
  • Разследвайте за евентуални компрометирания. Прегледайте логовете на уеб сървъра и PHP за подозрителни multipart заявки, грешки при лимит на паметта, повтарящи се HTTP 500 отговори, деформирани сесийни бисквитки и неочаквани рестартирания на PHP процесите. Проверките трябва да обхванат активност, датираща поне от 17 октомври, когато за първи път бяха докладвани опити за експлоатация. Сменете потенциално засегнатите идентификационни данни, API ключове и токени според случая.

Разберете експлойта. Укрепете защитата.

Когато бъде разкрита следващата уязвимост, някой в екипа трябва да оцени нивото на риск. Четенето за дадена уязвимост изгражда осведоменост, но практическата работа по нея изгражда уменията за реакция.

Лабораторията PHP2Shell на OffSec помага на специалистите да превърнат техническите познания в практически опит, който могат да приложат при бъдещи уязвимости. За по-задълбочен поглед върху уязвимостите разгледайте техническия анализ на OffSec. Организациите, които искат да изградят тези способности в своите екипи по сигурност, могат да се запознаят с програмите на OffSec за професионално развитие.

За OffSec

OffSec е водещият световен доставчик на висококачествено обучение и сертификация в областта на киберсигурността. Изградена върху основите на високи стандарти, почтеност и непреклонния дух „Try Harder“, OffSec дава възможност на специалисти и организации да надхитрят развиващите се киберзаплахи чрез стриктно, практическо обучение.