Миллионы атак за два дня: что известно о PHP2Shell к 23 октября. Ваш сайт уже проверили?

Два дня назад я писал про PHP2Shell, две критические дыры в PHP (CVE-2026-109618 и CVE-2026-109619). Тогда это была новость про патч. Сейчас это уже отчёт про атаки: Amazon нашёл первую попытку взлома 17 октября, за четыре дня до исправлений, а Cloudflare считает попытки миллионами. Собрал, что говорят разные источники, и что будет с теми, кто тянет с обновлением.

В PHP, на котором работает большинство сайтов (WordPress, Битрикс, Joomla, интернет-магазины), нашли дыру. Через неё чужой человек может запустить свою программу на вашем сервере, не зная ни логина, ни пароля. Хакеры уже массово ищут непропатченные сайты. Если ваш PHP не обновлён до свежей версии, считайте, что дверь открыта.

[КАРТИНКА: таймлайн 17 → 23 октября]

Amazon (CJ Moses, CISO). Первая попытка 17 октября, дальше атаки из разной инфраструктуры и с разными полезными нагрузками, то есть, судя по всему, это несколько группировок. При этом Amazon честно пишет: неясно, сработали бы эти попытки на реальных серверах. Главный совет: не считать дату раскрытия началом атак и проверять логи с 17 октября.

Cloudflare (Matthew Prince, CEO). По его словам, которые приводит Cybernews, попыток было десятки тысяч за 45 минут после анонса, сотни тысяч через 2 часа и «миллионы сейчас». В блоге компании отдельно сказано, что атакующие на ходу меняли эксплойт, пытаясь обойти правила.

Dataminr (команда TRACE). Самый спокойный взгляд: пока это сканирование, определение версий и нерабочие эксплойты, подтверждённых взломов нет. Но там же добавляют, что рабочие эксплойты и успешные атаки появятся, это вопрос времени.

ELLIO. Их сенсоры поймали первый запрос PHP2Shell 21 октября в 08:36 UTC, за пять с половиной часов до публикации патча.

VirusTotal. Около 5,1 млн IP с PHP, из них около 3,8 млн с открытыми портами. Версию в заголовках сообщают только около 1,1 млн. Важная оговорка самого VirusTotal: это размер поверхности, а не число уязвимых серверов. Среди приложений лидирует WordPress (около 538 тыс. IP).

NCSC (Великобритания) и CERT-EU. Обновляться немедленно, начиная с серверов, смотрящих в интернет. Если нельзя, изолировать или отключить. NCSC Нидерландов ведёт на GitHub список стороннего софта и устройств, внутри которых тоже сидит PHP.

Россия. Beget ещё до выхода патчей ограничил upload_progress и загрузку файлов на хостинге (подробно было в первом посте). Отдельных бюллетеней БДУ ФСТЭК или НКЦКИ по PHP2Shell на момент написания я не нашёл. Если они появятся, добавлю.

Расхождение тут понятное. Amazon и Cloudflare видят попытки, Dataminr не видит подтверждённых взломов. Одно другому не противоречит: попыток много, а сколько из них удачные, публично пока не знает никто.

Подтверждённое на 23 октября: массовые попытки эксплуатации, сканирование, разные эксплойты от разных групп, мутации эксплойтов под обход WAF. Публично подтверждённых жертв и утечек я не нашёл.

Типичные последствия, если сервер всё-таки взломан (это не про конкретные случаи PHP2Shell, а про то, как обычно заканчиваются такие истории):

[КАРТИНКА: схема «взлом → веб-шелл → база → спам/майнер»]

Это прогноз, а не факт. Он основан на том, как развивались прошлые массовые дыры в PHP и CMS: php-cgi в 2012 и 2024 годах, Drupalgeddon в 2018-м, многочисленные дыры в плагинах WordPress.

Отдельный риск: если сайт взломали до обновления, само обновление не удаляет веб-шелл. Обновились, но не проверили, значит, могли так и остаться с чужим «ключом» на сервере.

В тот же день, 21 октября, GitLab выпустил 19.5.1 и ещё шесть патч-версий. Уязвимость CVE-2026-110264 оценена в 10 из 10: выполнение кода на сервере без логина, затронуты все версии с 7.0. Нужен всего один публичный проект со специально подготовленным .org файлом. На 22 октября атак не зафиксировано, но если у вас свой GitLab, обновляйтесь до 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 или 18.11.13. GitLab.com уже исправлен.

За два дня история прошла путь от «вышел патч» до «атаки миллионами». Подтверждённых взломов пока мало или нет, но атакующие начали раньше, чем защитники узнали о проблеме. Обновить PHP мало, надо ещё убедиться, что к вам не зашли до обновления. И если где-то крутится забытый сайт на PHP 7, сейчас самое время его обновить или выключить.

Источники: aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/, aws.amazon.com/blogs/security/using-aws-waf-to-apply-mitigations-for-php2shell-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/, blog.cloudflare.com/php-vulnerabilities-waf-protection/, cybernews.com/security/php2shell-wordpress-amazon-cloudflare-ai-cyberattacks/, bleepingcomputer.com/news/security/amazon-says-php2shell-exploitation-began-4-days-before-patches/, blog.virustotal.com, ellio.tech/en/blog/php2shell-what-we-observed-and-what-to-do/, ncsc.gov.uk/news/critical-security-issue-affecting-php, cert.europa.eu/publications/security-advisories/2026-018, github.com/NCSC-NL/php2shell, securityweek.com, beget.com/ru/news/2026/uyazvimost-v-php-ot-21-10-2026, docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/, cert.europa.eu/publications/security-advisories/2026-019/.