Сканирование и неудачные попытки эксплуатации PHP2Shell не привели к компрометации

Уточнение относится к сводке, выпущенной 22 октября в 16:18 UTC, где сообщалось об одном успешном срабатывании. Повторный разбор телеметрии по данным Sophos показал, что зафиксированы следы сканирования и несколько попыток, не приведших к доставке нагрузки. Блокировку обеспечили сработавшие средства защиты, поэтому образец в среде не исполнялся. В более раннем наблюдении фигурировали запись нагрузки во временный каталог и запуск через интерпретатор PHP, однако теперь эти сведения не подтверждаются.

В разобранных запросах присутствовали строка идентификации клиента со ссылкой на сканирование, граница составного запроса и характерный шаблон POST. Образец, который пытались доставить, описан как вероятный вариант Mirai под названием Potassium. Разбор показал обновлённую и заметно расширенную версию варианта, выявленного в начале 2026 года. Программа совмещает функции загрузчика и нарушения сетевой работы.

При запуске она разрешает зашитый зашифрованный адрес командно-контрольного сервера (C2-сервера), устанавливает TCP-соединение, отправляет HTTP-запрос и проверяет код ответа 200. Дополнительно программа убеждается, что полученные данные начинаются с сигнатуры исполняемого файла Linux, то есть ожидает продолжение в виде ELF-файла. Функция разрешения имён поддерживает адреса IPv4 и имена хостов, а запасная логика обращается к публичным DNS-серверам. Как и исторические образцы Mirai, вариант способен проводить распределённые атаки на отказ в обслуживании.

В перечень наблюдаемых артефактов вошли несколько адресов командно-контрольных серверов, а также домены, применявшиеся для размещения нагрузки и встроенные в неё саму. Адреса могут перераспределяться между владельцами, поэтому совпадение само по себе не указывает на активность. Одновременно расширен набор правил обнаружения на межсетевом экране и на оконечных устройствах.

Разработка рабочего эксплойта, то есть кода, использующего уязвимость, для этих двух проблем не выглядит простой задачей. Попытка собрать собственный эксплойт внутри исследовательского подразделения столкнулась с трудностями даже при поддержке ИИ. Отсутствие успешных эксплойтов в реальных условиях косвенно указывает на сходные сложности у внешних атакующих. Исследователи заявляли о создании рабочих эксплойтов, однако не исключено, что те работают только в лабораторных условиях. Успешная эксплуатация может также требовать определённых зависимостей и конфигурации среды.

Успешное выполнение кода после эксплуатации зависит от архитектуры развёртывания, версии PHP и конфигурации. Анонс исправлений появился 20 октября 2026 года, сами обновления вышли 21 октября. Тогда же пользователь платформы X заявил о создании рабочего демонстрационного эксплойта. Уязвимостям присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619, оценка по шкале CVSS составляет 9.2. В бюллетене обновление названо единственным полным решением, а риск распространён на все установки PHP, обслуживающие веб-запросы.

Признаков развёртывания программ-вымогателей, кражи данных или компрометации цепочки поставок в связи с этой активностью не зафиксировано. Выводы опираются на образец, полученный при заблокированной попытке, поэтому поведение после успешного запуска на реальных системах не наблюдалось. Наблюдаемые сетевые признаки могут давать ложные срабатывания: необычно долгие сессии, нетипичные имена процессов и редкий входящий трафик от инфраструктуры с низкой репутацией встречаются и без эксплуатации.

Не установлено, появятся ли рабочие эксплойты в открытом доступе и насколько широко затронуты установки PHP за пределами той телеметрии, на которой построен разбор. Клиентские данные не позволяют судить об общей картине в сети.