Злоумышленники смогли обойти механизмы защиты памяти, чтобы удаленно выполнять вредоносный код.

Более 110 миллионов устройств работают с устаревшими версиями PHP, для которых больше не предоставляется официальная поддержка.

Критические уязвимости в PHP, известные как PHP2Shell, уже активно эксплуатируются по всему миру.

После нескольких дней безуспешных попыток со стороны злоумышленников, специалисты по кибербезопасности подтвердили удаленное выполнение кода на серверах, что подтверждает надвигающуюся угрозу для мировой веб-инфраструктуры и, как следствие, для платформ, связанных с биткоином (BTC) и криптовалютами.

РЕКЛАМА

Первая успешная атака в реальных условиях была обнаружена Аделем Карими, исследователем из Perplexity, который зафиксировал взлом тестового сервера, работающего на Apache и версии PHP 8.4.26.

Согласно отчету, опубликованному BleepingComputer 26 октября, атака позволила извлекать данные из памяти и удаленно выполнять команды всего за миллисекунды.

Этот факт был немедленно подтвержден Маркусом Хатчинсом из компании Expel, который назвал это наиболее убедительным доказательством эксплуатации PHP2Shell в реальных условиях.

Ситуация усугубилась благодаря совершенствованию техник атак другими группами. Компания VulnCheck разработала способ обхода механизма рандомизации расположения адресного пространства (ASLR), который является важной защитой памяти на производственных серверах, что позволяет злоумышленникам незаметно проникать в системы.

В то же время, такие компании, как Sophos, Hunt.io и Arctic Wolf, обнаружили, что операторы сети скомпрометированных устройств, связанной с вредоносной программой Mirai, уже внедрили эти уязвимости в свой арсенал для проведения возможных распределенных атак.

Уровень подверженности интернета этой угрозе остается тревожным. Несмотря на то, что такие организации, как CISA, предупредили об опасности сразу после ее обнаружения, идентификаторы CVE-2026-109618 и CVE-2026-109619 до недавнего времени отсутствовали в Каталоге известных эксплуатируемых уязвимостей (KEV), что создавало ложное впечатление о низком реальном риске.

Хотя, как сообщалось CriptoNoticias, The PHP Foundation выпустила экстренные исправления 21 октября, данные компании Qualys показывают, что около 110 миллионов серверов, что составляет 71% всех установок в мире, работают с устаревшими версиями, для которых больше не предоставляется техническая поддержка и которые никогда не получат обновления.

К этому добавляются еще 44 миллиона устройств, для которых обновление доступно, но администраторы еще не установили его.

РЕКЛАМА

Согласно данным, опубликованным Amazon в своем корпоративном блоге, киберпреступники начали свои операции по сканированию и выявлению уязвимостей за четыре дня до того, как исправления были обнародованы, что свидетельствует о высокой скорости работы злоумышленников.

Хотя протокол Bitcoin остается неуязвимым к этим уязвимостям, поскольку не использует PHP для своей обработки, значительная часть коммерческой инфраструктуры, связанной с ним, находится под угрозой. Обменные пункты, цифровые кошельки и платежные системы в значительной степени зависят от этого языка программирования.

Учитывая высокий уровень серьезности этих уязвимостей (9,2), бездействие со стороны административных органов является неприемлемым. Организации, использующие устаревшие версии программного обеспечения и не имеющие возможности немедленно установить последние обновления, такие как версии 8.5.12 или 8.4.27, должны срочно ограничить доступ к своим системам с помощью виртуальных частных сетей (VPN) и изолировать свои серверы.

Подтверждение факта этих атак знаменует собой окончание этапа теоретической профилактики и начало масштабных взломов.

РЕКЛАМА