Анализирахме следното твърдение: вярно ли е, че
поне един конкретно назован уебсайт или онлайн услуга е станал жертва на независимо потвърден пробив през уязвимостите PHP2Shell?
Твърдението така и не беше доказано. На 25 октомври Palo Alto Networks оттегли заключението си от 23 октомври, според което европейска правителствена агенция е била компрометирана през PHP2Shell, като уточни, че начинът на първоначален достъп не може да бъде потвърден. До момента нито един действащ уебсайт или онлайн услуга не е потвърдил независимо пробив вследствие на PHP2Shell.
Оттеглено е ключово твърдение за хакерска атака срещу правителство през пробиви в PHP
Компанията за киберсигурност Palo Alto Networks оттегли доклада си, свързващ пробив в европейска държавна структура с уязвимостите PHP2Shell.
Същината
След откриването на две критични уязвимости в PHP, наречени PHP2Shell, компанията за киберсигурност Palo Alto Networks първоначално обяви, че неназована европейска правителствена агенция е била хакната през тях. Два дни по-късно компанията оттегли твърдението, като призна, че не разполага с доказателства за начина на проникване. Въпреки че нападатели масово сканират интернет за незащитени сървъри, до момента няма потвърден успешен пробив в нито една назована организация.
Акценти
- Palo Alto Networks оттегли доклада си, свързващ хакерска атака срещу европейско правителство с PHP2Shell, след като установи, че не може да докаже вектора на проникване.
- Извънредни поправки за сигурност бяха публикувани на 21 октомври, след като изследователи от Calif и OpenAI независимо докладваха за критичните дефекти.
- Независим преглед на 418 публични източника за киберинциденти не откри нито една назована организация с потвърден пробив през PHP2Shell.
- Компанията CYFIRMA идентифицира непотвърден списък от 216 потенциални сървъра цели и 21 възела, извършващи сканиране за уязвимостта.
Из дневника на редактора
Критична софтуерна уязвимост лесно предизвиква масирано интернет сканиране, но шумните опити за сондиране не са равни на успешен пробив. Без проверени технически доказателства от системните записи на сървърите, първоначалните съобщения за реални атаки често се разпадат при по-внимателна проверка.
Кой участва
Palo Alto Networks Unit 42
Изследователски екип за заплахи към американската компания за киберсигурност Palo Alto Networks
цел → Да проверява реални доказателства за кибератаки, да защитава клиентите си и да коригира приписването на инциденти, когато те вече не могат да бъдат доказани
CYFIRMA
Компания за разузнаване в киберсигурността, която следи кампании за атаки в мрежата
цел → Да проследява инфраструктурата за враждебно сканиране, да предупреждава потенциалните мишени и да потвърждава своите констатации
Defused Cyber
Изследователска група, анализираща трафика от опити за сондиране срещу симулирани системи примамки
цел → Да разграничава безвредния фонов интернет шум от реалните пробиви в сигурността
PHP Foundation и екипът по сигурността на PHP
Организация с нестопанска цел и доброволци разработчици, поддържащи програмния език PHP
цел → Да осигуряват актуализации за сигурност на уеб сървърите и да защитят потребителите от откритите слабости
Неназована европейска правителствена структура
Неупомената европейска публична институция, станала обект на системен пробив
цел → Да защити компрометираните пароли и да установи точния път на проникване в мрежата си
Накратко
Най-популярният случай на проникване в информационна система чрез слабостите PHP2Shell беше официално оттеглен, с което публично не остава нито една потвърдена жертва. Програмният език PHP е технологичният двигател зад милиони масови уебсайтове, а двете уязвимости, известни като PHP2Shell, позволяват на нападател да поеме контрол над сървър без парола. Екипите по сигурност по целия свят отчитат масиран трафик от сканирания за наличието на проблема, но липсват потвърждения, че някой действително е пробил защита точно през тези слабости.
Разследващите експерти тепърва ще търсят технически доказателства в сървърните записи, за да установят дали реална компания е пострадала от атака. Дали подобни данни изобщо ще излязат наяве обаче не е сигурно, тъй като организациите рядко публикуват подобна информация доброволно. До момента събраните данни свидетелстват предимно за масово сканиране в търсене на уязвими сървъри, а не за успешни пробиви.
На 23 октомври изследователският екип Unit 42 на американската компания за киберсигурност Palo Alto Networks обяви, че хакери са проникнали в неназована европейска правителствена агенция, като са откраднали пароли и са се опитали да овладеят административен достъп. Това изглеждаше като първият доказан инцидент, предизвикан от двата дефекта. Два дни по-късно, на 25 октомври, екипът официално оттегли констатацията си и изясни, че макар институцията действително да е била компрометирана, експертите не могат да докажат, че нападателите са влезли чрез PHP2Shell.
Предистория
Хакери атакуват масово уязвимост в PHP, но потвърдени пробиви все още няма
25 октомври 2026 г.Милиони сървъри бяха подложени на атаки след спешните предупреждения за сигурност, но до момента няма доказателства за успешен достъп или изтичане на данни.
Как се разви
Дефекти в ключов уеб инструмент наложиха спешни поправки за сигурност
Програмният език PHP осигурява невидимата основа зад голяма част от интернет, като обработва заявките на заден план и зарежда страниците в браузърите. Скрит дефект в начина, по който системата управлява оперативната памет, беше забелязан още през 2024 г., но през август 2026 г. експерти от компанията за сигурност Calif и разработчика на изкуствен интелект (AI) OpenAI независимо едни от други предупредиха, че слабостта позволява изпълнение на неоторизирани команди. Впоследствие компанията за облачна сигурност Wiz разкри допълнителни подробности. Екипът на PHP пусна спешни актуализации на 21 октомври, след като детайлите за уязвимостта изтекоха преждевременно. Екипите по сигурност на Amazon, Imperva и други организации бързо засякоха масирано сканиране в интернет, но тези вълни показаха единствено опити за сондиране, а не компрометирани уебсайтове.
Водещият доклад за пробив се разпада при детайлна проверка
В продължение на няколко дни експертите по киберсигурност смятаха, че първата реална жертва на уязвимостите вече е известна. Технически анализ от 24 октомври цитира доклада на Unit 42 за инцидента в европейската държавна агенция като доказан факт, въпреки че самата институция остана анонимна и само една компания заставаше зад твърдението. CYFIRMA предупреди, че нападателите са съставили списък с потенциални мишени, а Defused Cyber регистрира сондиращи заявки срещу системи примамки на 25 октомври. Но сканиранията и списъците с цели не са доказателство за успешен пробив.
Обратът настъпи на 25 октомври, когато Unit 42 оттегли заключението си. Изследователите уточниха, че макар правителствената структура да е използвала уязвим софтуер и наистина да е претърпяла проникване, не може да се докаже, че нападателите са влезли именно през слабостите PHP2Shell. Независими наблюдатели отразиха оттеглянето същата вечер. Така в крайна сметка остава фактът на неизяснен пробив в неназована агенция, продължаващо сканиране в глобалната мрежа и нито един потвърден случай на компрометиран действащ уебсайт.
Докъде стигна историята
Към 26 октомври 2026 г. няма независимо потвърден пробив в нито един действащ уебсайт или онлайн услуга, извършен през уязвимостите PHP2Shell. Корекцията от страна на Unit 42 премахва единствения показателен пример за реална атака през тези пропуски. Инцидентът в европейската институция остава факт, но механизмът на първоначално проникване на хакерите остава неизвестен.
Липсата на потвърдени жертви не означава, че всички мрежи са защитени. За категоричното доказване на инцидент са нужни неопровержими технически доказателства: детайлни системни записи, открит зловреден код или официален експертен доклад, доказващ, че нападател е използвал конкретно тези уязвимости в PHP, за да проникне в определен сървър. Докато такива доказателства не се появят, въпросът остава открит. Системните администратори трябва да продължат да инсталират актуалните поправки и да следят мрежите си за необичайна активност.
PHP2Shell: кризата със сигурността на PHP
Спешната поправка за сигурност на PHP предизвика недоказани опасения за пробив
21 октомври 2026 г.Публикации в интернет твърдяха, че новата актуализация за програмния език, задвижващ милиони уебсайтове, е неефективна, но техническите проверки не откриха компрометиран защитен код.
Спешни корекции в PHP след изтичане на експлойти и ранни атаки срещу уеб сървъри
21 октомври 2026 г.Милиони сървъри са изложени на риск от отдалечен контрол, след като критични уязвимости изтекоха публично преди официалните поправки.