Amazon Threat Intelligence выявила попытку эксплуатации PHP2Shell, датированную 17 октября 2026 года, в телеметрии ханипота Mad Pot, за четыре дня до публичного раскрытия CVE-2026-109618 и CVE-2026-109619. Попытка поступила с IP-адреса, связанного с коммерческой сетью анонимизации. Хотя уязвимость находилась под эмбарго, нацеливание на ханипот указывает на то, что злоумышленник был активен, и остаётся неясным, как он получил информацию об эксплойте до раскрытия.
Эмбарго на PHP должно было быть снято 21 октября 2026 года в 14:00 UTC. Amazon Threat Intelligence зафиксировала несколько эксплойтов-доказательств концепции в день выпуска, самый ранний — около 02:00 UTC. Между 02:00 и 08:00 UTC дополнительные попытки эксплуатации, направленные на Mad Pot, поступали из других анонимизированных инфраструктур. Различия в полезной нагрузке указывают на несколько злоумышленников, и технический анализ продолжается, чтобы определить, были ли бы какие-либо попытки успешными против реальных систем.
В течение нескольких часов после выпуска исправления появились новые эксплойты-доказательства концепции, которые почти сразу же были применены против датчиков Amazon. PHP2Shell сейчас широко эксплуатируется в реальных условиях. Amazon делает два вывода: эмбарго защищает защитников лишь до тех пор, пока кто-то другой не найдёт ту же ошибку, а дата публичного раскрытия может не совпадать с самой ранней датой эксплуатации. Поскольку анализ с помощью ИИ удешевляет превращение исправлений в работающие эксплойты, разрыв между выпуском исправления и атакой сокращается.
Службам безопасности следует измерять сроки установки исправлений для критических уязвимостей, доступных из интернета, в часах, а не в днях, начинать расследования с самой ранней известной эксплуатации и внедрять механизмы обнаружения, не зависящие от сигнатур конкретных CVE. Обновление до исправленных версий PHP — единственное полное решение. Если немедленная установка исправления невозможна, командам следует рассмотреть блокировку многочастной загрузки файлов после оценки влияния на приложение и проверить журналы на наличие POST-запросов, содержащих строку PHP_SESSION_UPLOAD_PROGRESS.
Источник: Hacker News · Сводку подготовил HeadlinesBriefing