PHP2Shell ievainojamības jau izmanto uzbrukumos, CISA tās iekļauj aktīvo draudu sarakstā

ASV Kiberdrošības un infrastruktūras drošības aģentūra (CISA) ir iekļāvusi divas kritiskas PHP programmēšanas valodas ievainojamības – CVE-2026-109618 un CVE-2026-109619, kas pazīstamas kā PHP2Shell, – savā zināmo un aktīvi izmantoto ievainojamību katalogā. Tas nozīmē, ka aģentūras rīcībā ir pierādījumi par to izmantošanu reālos uzbrukumos, un ASV federālajām civilajām iestādēm tās jānovērš prioritāri.

Lēmums sekoja pētnieku ziņām, ka uzbrucējiem izdevies ne tikai izraisīt serveru avārijas, bet arī palaist komandas. Perplexity pētnieks Adels Karimi, kurš uztur PHP vietnēm līdzīgus slazdu serverus (honeypot), 24. oktobrī reģistrēja 35 komandrindas palaišanas trijos serveros no divām IP adresēm, ziņo SecurityWeek. Uzbrukums notika četros soļos: vispirms tika izsmelta PHP atmiņa, tad nopludināts atmiņas saturs un visbeidzot izpildīta komanda. Pats pētnieks gan uzsver, ka viņa testa vide bija apzināti uzbrucējiem izdevīga – Apache ar mod_php un tikai vienu darba procesu –, tāpēc nav skaidrs, cik uzticami uzbrukums strādā citās konfigurācijās.

Abas kļūdas skar atmiņas pārvaldību. Viena rodas, kad atmiņas pārsniegšana pārtrauc pieprasījuma apstrādi brīdī, kad iekšējie dati vēl nav pilnībā sagatavoti, otra – kad pēc atmiņas atbrīvošanas paliek novecojis stāvoklis, ko var izmantot nākamais tā paša procesa pieprasījums. PHP komanda abas novērtējusi ar 9,2 punktiem no 10 un norāda, ka apdraudētas ir visas instalācijas, kas apkalpo tīmekļa pieprasījumus, tostarp PHP-FPM, php-cgi, FrankenPHP un LiteSpeed, bet vislielākais risks ir mod_php.

Labojumi iznāca 21. oktobrī versijās PHP 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Informācija par kļūdām daļēji noplūda jau iepriekšējā dienā, un uzbrukumu mēģinājumi sākās vēl pirms labojumu publicēšanas. PHP 8.1 un vecākām versijām projekts oficiālus labojumus vairs neizdod, tāpēc to lietotājiem jāvēršas pie sava Linux izplatījuma vai ilgtermiņa atbalsta piegādātāja.

Delftas draudu izpētes laboratorijas publiski pieejamie dati rāda, cik plaši notiek skenēšana. Līdz 29. oktobra pusdienlaikam laboratorijas sensori bija reģistrējuši vairāk nekā 73 000 uzbrukuma pieprasījumu no 668 IP adresēm 73 valstīs, un no 176 adresēm tika sūtīts kods vai lejupielādes rīks.

Latvijā par šīm kļūdām brīdinājusi arī CERT.LV. Tā aicina nekavējoties atjaunināt PHP un norāda, ka ievainojamības var skart arī gatavus produktus, kuros PHP ir iebūvēts. Pēc CERT.LV apkopotās informācijas, Palo Alto Networks apstiprinājis ietekmi uz PAN-OS un Panorama, bet Citrix – uz NetScaler Management Portal, savukārt Cisco un Fortinet ietekmi vēl izvērtē. Sistēmām, kuras nevar atjaunināt, CERT.LV iesaka ierobežot piekļuvi vismaz no ārvalstīm.

CISA un PHP komanda uzsver, ka pagaidu pasākumi, piemēram, atmiņas un pieprasījumu izmēra ierobežojumi vai tīmekļa ugunsmūris, tikai daļēji samazina risku. Pilnīga aizsardzība ir tikai atjaunināšana, un CISA iesaka arī pārbaudīt, vai PHP procesi nav palaiduši aizdomīgas komandas vai lejupielādējuši rīkus.