Проверихме следното твърдение: вярно ли е, че
критична софтуерна уязвимост, наречена PHP2Shell, е осигурила първоначалния достъп на хакери до мрежата на европейска държавна институция?
дигиталната криминалистика потвърди проникването в мрежата и кражбата на данни за достъп, но не откри доказателства, че уязвимостта е била първоначалният вектор на пробива
Palo Alto Networks оттегли заключението си за хакерска атака срещу държавна институция
Звеното Unit 42 се отказа от твърдението, че критична уязвимост в уеб софтуер е отворила вратата за пробив в европейска агенция.
Същината
Звеното Unit 42 на Palo Alto Networks оттегли оценката си, че пробивът в европейска държавна агенция е започнал през уязвимостта PHP2Shell, след като криминалистичният одит не откри убедителни доказателства за това. Самото проникване, кражбата на удостоверения за достъп и използването на автоматизирани хакерски инструменти остават потвърдени, но истинският маршрут, по който нападателите са влезли в мрежата, все още не е известен.
Акценти
- Звеното Unit 42 официално оттегли твърдението си, че пробивът в европейската институция е свързан с уязвимостта PHP2Shell.
- В първоначалното предупреждение се твърдеше, че хакерите са достигнали до сървърите за управление на идентичността за по-малко от два часа.
- Дигиталната криминалистика продължава да потвърждава реалния пробив, откраднатите държавни данни за достъп и използването на автоматизирани инструменти след проникването.
- Разследващите все още не са установили как нападателите са осъществили първоначалния пробив в мрежата.
Из дневника на редактора
Потвърденият пробив в уязвима машина не доказва коя точно врата е била отворена: когато връзката с предполагаемата уязвимост се разпадне при проверка, защитата трябва да се ръководи от проверени факти за входа, а не от предположения.
Кой участва
Palo Alto Networks Unit 42
Подразделение за анализ на заплахи към компанията за киберсигурност Palo Alto Networks
цел → Следи киберзаплахите и публикува проверени научни доклади за сигурността
Неидентифицирани извършители на кибератаката
Неизвестни кибероператори, заподозрени в използване на автоматизирани средства за атака
цел → Проникват в правителствени мрежи, за да извличат пароли и идентификационни данни
Европейска държавна агенция
Неназована европейска институция от публичния сектор, станала жертва на мрежовия пробив
цел → Опазва публичната цифрова инфраструктура и защитава ключовете за цифрова идентичност
Накратко
Защо това има значение: Екипите по сигурността в държавния и корпоративния сектор побързаха да инсталират поправки за уязвимост, за която смятаха, че вече е пробила правителствена инфраструктура. Впоследствие обаче стана ясно, че атаката е започнала по друг начин. Оттеглянето на първоначалното твърдение премахва основния реален пример за използването на този софтуерен дефект за държавен цифров шпионаж.
Последицата: Специалистите по киберсигурност в цял свят най-вероятно ще пренасочат проверките си от тази конкретна уязвимост към по-широк кръг от непотвърдени точки за достъп, които нападателите използват срещу уеб приложения.
Колко е вероятно това: Вероятността е голяма, тъй като от Unit 42 признаха, че разследващите екипи все още не са установили точната цифрова врата, през която хакерите са проникнали в системата.
Предистория
Palo Alto Networks съобщи за кибератака срещу европейска държавна институция
24 октомври 2026 г.Нападателите са пробили публичен уеб сървър и са опитали да овладеят широки администраторски права.
Нидерландия успокои тревогата за масови пробиви в сайтове
24 октомври 2026 г.Властите не откриха доказателства за успешни хакерски атаки след първоначалното предупреждение за широко разпространени уязвимости в популярен уеб софтуер.
Пробив застрашава милиони сайтове, но липсват данни за реални щети
23 октомври 2026 г.В ход са спешни мерки за защита на интернет мрежите, но първоначалните опасения за историческа криза засега остават непотвърдени.
Как се разви
Unit 42 съобщи за критичен пробив в правителствена мрежа
На 23 октомври 2026 г. звеното Unit 42 на Palo Alto Networks обяви, че хакери са използвали новооткритата уязвимост PHP2Shell, за да проникнат в европейска държавна агенция. Според първоначалния доклад нападателите са се възползвали от дефекта, за да достигнат до вътрешни сървъри, управляващи потребителската идентичност, за по-малко от два часа. Съобщението веднага породи опасения, че уязвимостта вече се използва чрез автоматизирани средства срещу реални държавни цели.
Преоценка на данните и оттегляне на вектора на атака
Агенциите за сигурност и екипите за реагиране при инциденти по целия свят започнаха одити на свързаните с интернет системи, работещи с PHP код, след предупрежденията, че уязвимостта вече се прилага в реални операции. Когато обаче аналитиците от Unit 42 провериха повторно записите от крайните устройства и мрежовия трафик, пряката техническа връзка между първоначалния достъп и дефектите в PHP2Shell се разпадна. На 25 октомври 2026 г. звеното публикува официална корекция, с която оттегли това заключение и уточни, че макар атаката да е засегнала уязвима система, категорични доказателства за проникване през PHP2Shell няма.
Докъде стигна историята
Към 27 октомври 2026 г. оттеглянето на твърдението за входната точка е окончателно: Unit 42 официално се отказа от връзката с PHP2Shell, но застава зад доказателствата, че в европейската правителствена мрежа е имало пробив и от нея са източени административни данни за достъп. Разследващите все още не са установили действителния път на първоначално проникване, а автоматизирани скенери продължават да търсят в интернет системи с уязвим софтуер на PHP.