Про уязвимости Remote Code Execution - PHP "PHP2Shell" (CVE-2026-109618, CVE-2026-109619). PHP - популярный серверный язык программирования, используемый для разработки веб-приложений. Уязвимости из октябрьского Linux Patch Wednesday. Уязвимость CVE-2026-109618 связана с некорректной обработкой ошибок нехватки памяти (OOM), а уязвимость CVE-2026-109619 связана с использованием устаревших ссылок на освобождённые области памяти (use-after-free) в глобальных структурах данных PHP. Обе они позволяют злоумышленнику удалённо выполнить произвольный код при обработке специально сформированных запросов. Эксплуатация уязвимости может привести к полной компрометации уязвимой системы, краже конфиденциальных данных, изменению хранящейся информации и установке вредоносного ПО. Скомпрометированная система также может стать точкой проникновения во внутреннюю сеть организации и дальнейшего развития атаки. Уязвимости затрагивают продукты, использующие PHP, включая межсетевые экраны, системы управления сетевой безопасностью и платформы развёртывания приложений.
⚙️ О первопричине уязвимостей было известно специалистам The PHP Foundation с 2024 года, однако они приоритизировали её устранение только с 11 августа 2026 года. Выпуск обновлений был запланирован на 22 октября, но из-за нарушения эмбарго обновления вышли на день раньше - 21 октября. Для устранения уязвимостей рекомендуется обновиться до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 либо установить исправленные пакеты дистрибутива. Для неподдерживаемых веток следует запланировать переход на актуальную версию PHP, а пока ограничить доступ из Интернет и применить меры защиты на уровне конфигурации. Для сетевого оборудования следует использовать исправленные сборки производителя или рекомендованные им временные меры защиты.
Эксперты Positive Technologies реализовали меры защиты с помощью продуктов PT AF Cloud, PT Application Firewall PRO, PT Application Firewall 3, PT NAD и PT NGFW, а также выпустили правила детектирования для MaxPatrol VM.
🛠 На GitHub доступно огромное количество репозиториев с публичными эксплоитами (более 1000!). Однако добиться выполнения кода на конкретной цели сложно. Для успешного удалённого выполнения кода необходим эксплойт, настроенный под конкретную среду, включая сборку PHP, SAPI, расширения и конфигурацию среды выполнения.
👾 Обе уязвимости были добавлены в CISA KEV 26 октября. Однако подтверждённых случаев эксплуатации относительно немного и они связаны в основном с сетевыми устройствами.
Компания Dream Group сообщила 26 октября о компрометации устройств Palo Alto Networks в США, Японии, на Тайване и в Южной Корее. Из примерно 19 000 обнаруженных устройств злоумышленники отобрали 240 потенциальных целей и успешно скомпрометировали 24 межсетевых экрана и сервер управления. Три устройства предположительно относились к инфраструктуре госведомств США. Для атак использовались PHP2Shell и LPE-уязвимость ядра Linux Fragnesia (CVE-2026-46300). Получив административный доступ, злоумышленники похитили пароль служебной учётной записи, списки пользователей и групп, конфигурацию сети и закрытые ключи.
Эксперты Check Point сообщили 12 ноября об атаках на устройства Security Gateway, начавшихся 30 октября. Используя PHP2Shell и LPE-уязвимость DynamicCLI (CVE-2026-123039), злоумышленники получили первоначальный доступ, повысили привилегии и установили бэкдор TSGA с сетевым компонентом TSProxy. На этапе деструктивных атак они также проникли по SSH на хост VMware ESXi и запустили вайпер destroy_v6.
🌐 Согласно данным Censys, 27 миллионов PHP-сервисов, доступных из Интернет, по-прежнему не обновлены. Кроме того, уязвимости затрагивают продукты множества вендоров, включая Palo Alto Networks, Check Point, Netgate, Coolify и Cisco.