В кратком бюллетене от 23 октября PHP сообщил, что для эксплуатации новой ошибки, CVE-2026-115560, требуется необычное сочетание настроек и кода приложения. Приложение должно во время выполнения переключить обработчик сериализации сессий на «php» до запуска сессии. Кроме того, должна быть включена функция отслеживания прогресса загрузки в сессии.
До следующего планового выпуска, в который войдёт исправление, PHP рекомендует отключить отслеживание прогресса загрузки в сессии. Эта настройка уже предлагалась как временная мера для одной из первых двух уязвимостей, поэтому администраторам, которые её применили, больше ничего делать не нужно. Исполнительный директор PHP Foundation Элизабет Баррон сообщила The Register, что фонд не ожидает встретить такую конфигурацию на практике.
PHP исправил первые две уязвимости 21 октября после того, как о них сообщили исследователи, использовавшие ИИ. Исправления вошли в версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Сканирование, связанное с Северной Кореей
Тем временем корееязычная группировка, связанная с Северной Кореей, незаметно сканирует 216 серверов на наличие первых двух уязвимостей, сообщила CYFIRMA. По данным компании, специализирующейся на анализе киберугроз, среди целей — государственные ведомства, банки, аэропорты и платформы онлайн-транзакций. Они расположены в США, Японии, Южной Корее, Индии, Австралии, ЕС и других странах.
CYFIRMA опубликовала бюллетень 23 октября и обновила его 24 октября. По её словам, операторы действуют с 21 захваченной машины. Компания не подтвердила массовых взломов со стороны этой группы. Её основатель и генеральный директор Кумар Ритеш описал метод изданию The Hacker News.
«Сканирование намеренно ведётся малыми объёмами и в размеренном темпе. Узлы меняются и бросаются при первых признаках блокировки или ограничения частоты запросов, поэтому оповещения на основе пороговых значений вряд ли его обнаружат». Кумар Ритеш, CYFIRMA, в комментарии The Hacker News
Компания с высокой степенью уверенности связывает операторов с Северной Кореей. Она указывает на их язык, переписку в закрытом канале I2P и выбор целей. Связь с Lazarus Group оценивается со средней степенью уверенности. Следующим шагом, говорится в бюллетене, операторы выберут наиболее перспективные хосты и решат, какие публичные методы стоит адаптировать.
Отозванное заявление
Ещё один отчёт утратил силу. 23 октября подразделение Unit 42 компании Palo Alto Networks сообщило, что злоумышленники применили PHP2Shell против государственного органа в Европе. По его данным, в течение двух часов они добрались до хешей паролей и секретов многофакторной аутентификации. Исследователи заметили признаки того, что работу выполнял ИИ-агент.
В воскресенье Unit 42 отозвало это обновление.
«Мы не можем подтвердить, что первоначальный доступ связан именно с CVE PHP2Shell. Мы отозвали наше предыдущее обновление от 23 октября». Unit 42, Palo Alto Networks
Число попыток по-прежнему исчисляется миллионами, как сообщила Cloudflare. Официальные лица в Германии и Японии уже заявляли, что не видят подтверждённых взломов. По состоянию на пятницу никто публично не подтвердил успешного взлома через PHP2Shell, сообщило The Register. О первых двух уязвимостях Баррон сказала следующее:
«В настоящее время у нас нет свидетельств эксплуатации этих уязвимостей в обновлённых версиях PHP». Элизабет Баррон, в комментарии The Register
Сетевые хранилища всё ещё ждут
Уязвимости затрагивают и сетевые хранилища, программное обеспечение которых работает на PHP. Synology выпустила обновлённые пакеты PHP, сообщило AppleInsider 22 октября. QNAP подтвердила, что затронут ряд её продуктов, и всё ещё работала над исправлениями, не называя сроков. О атаках на свои продукты компания не сообщала. TerraMaster заявила, что работает над исправлением.
Опубликовано 26 октября 2026 - 04:25 Наверх
