Анализирахме следното твърдение: вярно ли е, че

публични експлойти и ранни атаки са засегнали сървъри с PHP, преди да станат достъпни официалните защитни корекции?

Спешни корекции в PHP след изтичане на експлойти и ранни атаки срещу уеб сървъри
генерирано с ИИПотвърдено

екипът на PHP публикува бюлетини за две критични уязвимости за отдалечено изпълнение на код, докато Cloudflare и Patchstack отчетоха ранни опити за атака преди официалните поправки, макар публичните данни да не показват броя на реално пробитите сървъри

Технологии и AI

Спешни корекции в PHP след изтичане на експлойти и ранни атаки срещу уеб сървъри

Милиони сървъри са изложени на риск от отдалечен контрол, след като критични уязвимости изтекоха публично преди официалните поправки.

Публикувано
NRB — News Republic Brigade

Още връзки

Екип по сигурността на PHP

Историята продължава

Обновления

  • 21 октомври 2026 г.CISA Cyber призова организациите незабавно да приложат кръпки за CVE-2026-109618 и CVE-2026-109619, тъй като те позволяват неоторизирано дистанционно изпълнение на код на уеб сървъри. ↗
  • 21 октомври 2026 г.HeroDevs пусна търговски пачове за разширена поддръжка за неподдържани стари инсталации, работещи с PHP версии с изтекъл срок на поддръжка, включително PHP 7 и 8.1 ↗
  • 21 октомври 2026 г.Palo Alto Networks Unit 42 публикува анализ на заплахи, очертаващ механизмите на експлоатация и телеметрия за наблюдение на сканирания, проучващи уязвима интернет-достъпна инфраструктура ↗
  • 21 октомври 2026 г.Wordfence инструктира администраторите на уебсайтове на WordPress незабавно да надградят PHP пакетите на сървъра, тъй като актуализациите на ниво CMS не могат да смекчат уязвимостите. ↗
  • 21 октомври 2026 г.Японският министър-председател Санае Такаичи призова уебсайтовете, използващи PHP, да се подготвят за корекцията в 14:00 UTC или да обмислят временни прекъсвания. ↗
  • 21 октомври 2026 г.Rapid7 издаде насоки, предупреждаващи организациите, че циркулира експлойт код за неоторизирано дистанционно изпълнение на код и масова експлоатация остава неизбежна. ↗
  • 21 октомври 2026 г.Критични правителствени уебсайтове в цяла Европа станаха недостъпни, докато властите бързаха да ограничат активно експлоатирана уязвимост в сигурността в широко използван PHP софтуер. ↗
  • 21 октомври 2026 г.Няколко японски платформи, включително pixiv, NicoNico и Codmon, влязоха в извънредна поддръжка поради уязвимостите PHP2Shell. ↗
  • 21 октомври 2026 г.Кибер отдела на ФБР предупреди за CVE-2026-109618 и CVE-2026-109619, позволяващи изпълнение на отдалечен код, и призова за незабавни актуализации или извеждане на системите офлайн. ↗
  • 21 октомври 2026 г.BreachForums и Dread свалиха сайтовете си офлайн като предпазна мярка, докато PHP не бъде кръпен глобално срещу критичните уязвимости. ↗
  • 21 октомври 2026 г.Многобройни гейминг платформи, форуми и уики сайтове, включително 4chan, Uma Musume и Miraheze, са излезли офлайн или са влезли в режим на поддръжка поради PHP2Shell. ↗
  • 21 октомври 2026 г.PHP2Shell позволява дистанционно четене на паметта на активни PHP работници, потенциално излагайки пароли, сесийни токени, API ключове и сертификати от други заявки. ↗
  • 21 октомври 2026 г.OpenAI координира спешното разкриване на две критични уязвимости от нулев ден, открити от AI модели, засягащи глобалната уеб инфраструктура. ↗
  • 21 октомври 2026 г.Изследователи и Cloudflare потвърдиха активни опити за експлоатация, използващи изтекъл инструмент PHP2Shell, насочен към пътища за напредъка при качване на сесии. ↗
  • 21 октомври 2026 г.WordPress потвърди, че проблемите не са специфични за WordPress, и насочи собствениците на сайтове да потвърдят, че хостинг доставчиците актуализират PHP незабавно. ↗
  • 21 октомври 2026 г.BleepingComputer съобщи, че стотици хиляди уеб сървъри, достъпни от интернет, остават незащитени срещу критични уязвимости за отдалечено изпълнение на код. ↗
  • 21 октомври 2026 г.Cloudflare предлага бутон за смекчаване с едно щракване в таблото за управление на сигурността, за да защити PHP сайтове от PHP2Shell, като същевременно препоръчва пълни PHP кръпки. ↗
  • 21 октомври 2026 г.Изследователи показаха, че PHP2Shell позволява изпълнение на отдалечен код преди удостоверяване на сайтове с WordPress, Drupal и Joomla поради пропуски в ядрото на PHP. ↗
  • 21 октомври 2026 г.PHP пусна версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, отстраняващи уязвимости за неоторизирано дистанционно изпълнение на код CVE-2026-109618 и CVE-2026-109619. ↗

Същината

Изтичането на готов код за използване на две критични уязвимости в паметта на PHP доведе до спешни софтуерни актуализации и защитни изключвания на обществени портали в цял свят. Пропуските позволяват на външни нападатели да поемат пълен контрол върху сървърите преди зареждането на уебсайтовете, което принуди мрежовите доставчици да въведат филтри, а нидерландските власти — да спрат електронните си услуги за граждани. Разработчиците пуснаха четири коригирани версии на PHP, като подчертаха, че цялостното обновяване на софтуера е единствената сигурна защита.

Акценти

  • Екипът на PHP издаде четири обновени версии — 8.2.35, 8.3.36, 8.4.27 и 8.5.12, за да предотврати отдалечено изпълнение на злонамерен код.
  • Двата дефекта в сигурността имат оценка за опасност 9,2 от максимум 10 точки по системата CVSS.
  • Властите в Нидерландия спряха временно достъпа до портала за цифрова идентичност DigiD и услугата MijnOverheid като защитна мярка.
  • Търсачката за сигурност VirusTotal отчете близо 5,1 млн. интернет адреса, свързани с инфраструктура на PHP.
  • Около 758 000 анализирани уеб сървъра работят с остарели и официално неподдържани версии на PHP между 5.4 и 8.1.

Из дневника на редактора

Когато критичните уязвимости се намират в базовия език за програмиране, а не в приложенията на уебсайта, филтрирането на трафика и промените в настройките не могат да заменят инсталирането на официалните поправки в самата софтуерна среда.

Кой участва

  • Екип по сигурността на PHP

    Разработчици, отговарящи за защитата на PHP — софтуерната среда с отворен код, захранваща милиони уебсайтове

    цел → Проверяват техническите пропуски, координират графика за публично оповестяване и издават коригирани версии за поддържаните клонове

  • Неидентифицирани нападатели и разпространители на експлойти

    Автори на готов нападателен код, който използва уязвимостите за превземане на сървъри

    цел → Получават нерегламентиран контрол върху свързани с интернет сървъри и разпространяват инструменти за многократни атаки

  • Cloudflare

    Доставчик на интернет инфраструктура, филтриращ злонамерен трафик преди заявките да достигнат клиентските сървъри

    цел → Блокира регистрирания трафик от експлойти в клиентските мрежи, включително за потребителите на безплатни планове

  • Patchstack

    Компания за киберсигурност, защитаваща хостинг доставчици и бизнес приложения, изградени върху PHP

    цел → Проследява активните уеб атаки и предупреждава системните администратори преди реализирането на успешен пробив

  • watchTowr

    Компания за анализ на киберсигурността, която тества дали откритите софтуерни слабости могат да бъдат използвани на практика

    цел → Изследва публикуваните изтекли данни и осигурява техническа проверка в помощ на администраторите при оценка на риска

  • CERT-EU и национални органи за киберсигурност

    Екипът за реагиране при киберинциденти на институциите на Европейския съюз и националните служби, издаващи предупреждения за заплахи

    цел → Ограничават цифровите щети, като насочват системните оператори да инсталират поправки, да изолират системи и да спират публичния уеб достъп

  • Оператори на уебсайтове, включително държавни институции и Wordfence

    Организации, управляващи уеб сървъри, сред които държавни агенции и доставчикът на защита за WordPress

    цел → Защитават административни системи и данни на граждани, докато управляват временните прекъсвания на услугите

Накратко

Милиони уеб сървъри, използващи PHP, са изправени пред непосредствена заплаха от отдалечено превземане, след като готов софтуерен код за задействане на два критични дефекта в сигурността изтече в интернет преди публикуването на официалните поправки.

Тази извънредна ситуация налага масово инсталиране на корекции и води до временно спиране на уеб сървъри в корпоративни и държавни мрежи по целия свят.

Мащабните смущения в работата на мрежите са почти неизбежни, тъй като външни нападатели без автентикация могат да поемат контрол върху базовия сървър още преди да зареди софтуерът на самия уебсайт.

Отбелязано от: Барометър „Европа днес“ · 22 октомври 2026 г.

Как се разви

01

Предупреждение във форум проваля графика за защита

2026-10-20 – 2026-10-20

Предварително планираният график за отстраняване на пропуските в най-разпространената уеб среда беше провален от публикация в интернет форум. В 15:20 ч. UTC на 20 октомври анонимен потребител с псевдоним petecooper обяви в технологичния форум Hacker News, че на 22 октомври публично ще изтекат два дефекта за отдалечено изпълнение на код в PHP с максимална оценка за опасност 10,0. Авторът призна, че твърдението му идва от непотвърден източник и не съдържа технически доказателства, но изследователите по киберсигурност бързо разпространиха новината в сектора. Малко след това компанията watchTowr потвърди реалната заплаха и възпроизведе дефекта в лабораторна среда, което принуди екипа на PHP да отмени първоначалния график и спешно да подготви софтуерните поправки.

1 източник
02

PHP потвърждава кризата и изтегля срока за актуализации

2026-10-20 – 2026-10-20

Слуховете в интернет прераснаха в общоотраслова тревога само за четири часа. След като изследователите от watchTowr възпроизведоха уязвимостта CVE-2026-109618, представителят на екипа по сигурността на PHP Якуб Зеленка (Jakub Zelenka) обяви, че проектът ще пусне спешни актуализации на 21 октомври в 14:00 ч. UTC, като си запазва правото да ги публикува и по-рано при разрастване на атаките. Зеленка оцени тежестта на двата проблема на 9,2 по скалата CVSS — под първоначално обявената оценка от 10,0, но запази в тайна списъка със засегнатите версии, за да забави създателите на експлойти. Компанията за сигурност Huntress обяви, че към този ден не отчита атаки в наблюдаваните от нея клиентски мрежи, оставяйки открит въпроса дали нападателите вече не атакуват други цели.

4 източника
03

Публичният експлойт код съвпада с първите атаки

2026-10-21 – 2026-10-21

Възможността за превантивна реакция рязко намаля през нощта, след като действащ код за използване на пропуските изтече в публични хранилища. Злонамерените файлове се появиха в аналитичната платформа VirusTotal на Google в 02:29 ч. UTC, а на сутринта компанията Patchstack съобщи, че нейни клиенти от уеб хостинг сектора вече са подложени на реални атаки. Главният технологичен директор на Cloudflare Дейн Нехт (Dane Knecht) заяви, че компанията активно неутрализира първите опити за експлоатация и прилага защитни правила за всички потребители, включително за ползвателите на безплатни услуги. Макар публикуваните примерни кодове да варираха от обикновено сриване на паметта до инструменти за пълен контрол върху сървъра, появата на работещ код превърна опасенията в реални битки за защита на хостинг мрежите по света.

6 източника
04

Властите предупреждават, а ключови услуги временно спират

2026-10-21 – 2026-10-21

Постъпващите данни за атаки принудиха държавни структури в Европа временно да спрат важни обществени услуги още преди появата на официалните поправки. Службата за киберсигурност на европейските институции CERT-EU призова администраторите незабавно да изолират свързаните с интернет PHP приложения, а полският екип CERT Polska препоръча пълно спиране на критичните уеб портали. В Нидерландия общественият оператор NOS съобщи, че институциите превантивно са спрели достъпа на гражданите до системата за цифрова самоличност DigiD, портала MijnOverheid и сайта на парламента. Компанията Wordfence временно изключи собствените си уеб услуги, за да гарантира сигурността на инфраструктурата си, докато VirusTotal предупреди, че около 758 000 сървъра продължават да работят със стари и неподдържани версии на PHP.

6 източника
05

Официалните поправки разкриват две отделни повреди в паметта

2026-10-21 – 2026-10-21

Официалното пускане на обновените версии на 21 октомври показа, че проблемът в сигурността е значително по-дълбок от отделна настройка на уеб сървъра. Разработчиците на PHP издадоха защитени версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12, като потвърдиха, че заплахата идва от две напълно различни грешки в управлението на паметта, а не от единичен модул за качване на файлове. Дефектът CVE-2026-109618 възниква при неправилна обработка на грешки при недостиг на оперативна памет, което оставя повредени вътрешни данни. Вторият проблем, CVE-2026-109619, позволява използване на вече освободена памет, което следващи входящи уеб заявки могат да овладеят. Екипът подчерта, че спирането на индикатора за напредък при качване на файлове или разчитането само на филтри за трафик не могат да елиминират всички вектори на атака, поради което пълното обновяване остава единствената сигурна защита.

4 източника

Проверихме отново

Към момента няма нови развития.

Докъде стигна историята

Системните администратори трябва незабавно да инсталират версии на PHP 8.2.35, 8.3.36, 8.4.27 или 8.5.12 и да рестартират работните процеси на уеб сървърите, за да защитят инфраструктурата си. За уебсайтове, които все още използват остарелите клонове 7.4, 8.0 и 8.1, е необходимо спешно прилагане на корекции в изходния код или пакети от външни доставчици за дългосрочна поддръжка, тъй като тези версии са официално спрени от поддръжка. Защитните стени за уеб приложения (WAF) и промените в настройките намаляват непосредствения риск, но не отстраняват първопричината в паметта и оставят сървърите уязвими при заобикаляне на външните филтри. Обновяването на добавки или теми в платформи като WordPress не предоставя защита, тъй като дефектът се намира в самия базов софтуер на PHP под сайта.

Криминалистичните анализи тепърва трябва да установят точния брой компрометирани сървъри, дали нападателите са успели да си осигурят постоянен достъп до тях и дали са откраднати чувствителни данни. Докладите на мрежовите оператори потвърждават активни опити за използване на пропуските, но тези наблюдения не доказват мащаба на действителните пробиви в глобален план. Наличните доказателства към момента не потвърждават нито първоначалните твърдения, че всички стари версии чак до PHP 5.0 са безусловно уязвими, нито че пробивите са възможни срещу стандартни инсталации на WordPress без специфични конфигурации на сървъра.

PHP2Shell: кризата със сигурността на PHP

Отвори таблото →

Източници

  • watchTowrresearcher-verification · 2026-10-20
  • Huntressearly-threat-monitoring · 2026-10-20
  • Reutersindependent-mainstream-coverage · 2026-10-21