Дослідники з команди Amazon Threat Intelligence виявили, що зловмисники розпочали сканування та спроби експлуатації критичних уразливостей PHP2Shell ще суботи, 17 жовтня — за чотири дні до того, як розробники PHP випустили офіційні оновлення безпеки у середу, 21 жовтня.
Дослідники з команди Amazon Threat Intelligence виявили, що зловмисники розпочали сканування та спроби експлуатації критичних уразливостей PHP2Shell ще суботи, 17 жовтня — за чотири дні до того, як розробники PHP випустили офіційні оновлення безпеки у середу, 21 жовтня.
Уразливості, що отримали ідентифікатори CVE-2026-109618 та CVE-2026-109619, дозволяють нападникам виконувати довільний код на вразливих серверах. За даними Amazon, після публічного оприлюднення інформації зафіксовано масову активність із застосуванням різних варіантів концептуальних експлойтів (PoC) через комерційні VPN-мережі та анонімізатори, пише BleepingComputer.
Команда безпеки PHP планувала координоване розкриття інформації, закликавши адміністраторів підготуватися до оновлень 20 жовтня. Однак графік довелося екстрено змінити через витік даних: у мережу потрапили ідентифікатори CVE та рекомендації щодо захисту, які раніше надавалися лише критичним інфраструктурним провайдерам.
Попри те, що в мережі до релізу оновлень з’явилося кілька публічних PoC-кодів, розробники PHP зазначають, що жоден із них на той момент не був повністю робочим. Неуспішні спроби атаки також зафіксували фахівці з компаній Cloudflare, watchTowr, Previdian, Hadrian та Patchstack. Зокрема Cloudflare зафіксував мільйони спроб експлуатації критичної вразливості.
Як повідомив директор із інформаційної безпеки AWS Сі Джей Мозес, перші атаки було зафіксовано на спеціальних серверах-пастках з анонімних IP-адрес. Різноманітність пейлоадів та використовуваної інфраструктури свідчить про те, що до атак причетні одразу кілька хакерських угруповань.
«Спроби атаки ханіпота з анонімізованої IP-адреси в той час, коли інформація про вразливість перебувала під ембарго, свідчать про те, що зловмисники якимось чином отримали дані про експлойт ще до офіційного розкриття», — зазначив Сі Джей Мозес.
Він також підкреслив, що уразливості PHP2Shell наразі активно та масово експлуатуються в реальних умовах, і закликав фахівців із захисту не орієнтуватися на дату публічного анонсу як на початок загрози, а якнайшвидше встановити випущені патчі.
