Злоумышленники впервые успешно воспользовались критическими уязвимостями PHP2Shell в языке программирования PHP, на котором работает около 70% сайтов в мире, включая большинство казахстанских. Атака позволяет без пароля захватить веб-сервер и вытащить из его памяти пароли, ключи доступа и данные сессий пользователей. Подтверждённый взлом исследователи зафиксировали 24 октября, сообщает BleepingComputer.
Речь о двух ошибках — CVE-2026-109618 и CVE-2026-109619. Обе позволяют удалённо выполнить код: хакер запускает на чужом сервере свои команды, просто отправив сайту специально составленный запрос. Ошибки находятся в самом «движке» PHP, поэтому под угрозой сайты на WordPress, 1С-Битрикс, Laravel, Drupal, Joomla, Magento и других популярных платформах.
Атаку заметил руководитель группы обнаружения угроз компании Perplexity Адель Карими в так называемых ловушках — специально выставленных в интернет уязвимых серверах. По его словам, это «подтверждённое удалённое выполнение кода», а не просто сбой: злоумышленники сначала выкачали из памяти сервера около 800 КБ данных, а затем использовали их в следующем этапе атаки. Выводы проверил и подтвердил исследователь компании Expel Маркус Хатчинс. Карими оговорился, что атака прошла на удобной для взломщиков конфигурации сервера, и о том, насколько надёжно она сработает на других, это пока не говорит.
Исправления разработчики PHP выпустили 21 октября: защищены версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Для устаревших веток 7.4, 8.0 и 8.1 команда опубликовала заплатки в виде исходного кода, но официально эти версии больше не поддерживаются. Попытки атак Amazon фиксировала ещё 17 октября — за четыре дня до выхода обновлений. По оценке VirusTotal, в интернете доступно более 5,1 млн серверов с PHP.
23 октября разработчики сообщили и о третьей уязвимости — CVE-2026-115560, исправления для которой пока нет. Она опасна только при редком сочетании настроек и кода сайта. До выхода заплатки администраторам советуют отключить в настройках PHP отслеживание загрузки файлов (параметр session.upload_progress.enabled=0).
В Казахстане о PHP2Shell 22 октября предупредила Служба реагирования на компьютерные инциденты KZ-CERT. Там подчеркнули, что исправить код самого сайта недостаточно — обновлять нужно серверную среду. О подтверждённых массовых взломах казахстанских госсистем, банков и крупных сервисов KZ-CERT не сообщала. В АО «Национальные информационные технологии», которое обслуживает eGov, ранее заявили, что эти уязвимости не затрагивают портал eGov.kz и он работает в штатном режиме.
Когда о PHP2Shell стало известно, несколько стран Европы на время отключили государственные сайты, чтобы установить обновления, — среди них Нидерланды, Финляндия, Франция, Германия и Чехия.
Владельцам и администраторам сайтов нужно проверить версию PHP, обновить её до 8.2.35, 8.3.36, 8.4.27 или 8.5.12 и перезапустить веб-сервер. Обычным пользователям стоит сменить пароль, если сайт или сервис сообщит о взломе, не использовать один пароль на разных сайтах и включить двухфакторную защиту — вход с дополнительным кодом из SMS или приложения — везде, где она есть.
