Один скептик с Hacker News решил доказать, что всё вокруг Php2Shell раздуто. План был такой. Поднять сайт stealmybitcoin.com на непропатченном PHP 8.4.26, причём не на «опасном» mod_php, а на «правильном» nginx + FPM. Положить на сервер приватный ключ от биткоин-кошелька, запустить таймер и предложить интернету забрать деньги, если сможет. Интернет оценил идею так высоко, что начал скидываться на приз. Банк вырос с $500 до $2000. Публика подтягивалась: одни ломали, другие писали, что никакого RCE не будет. Сервер периодически падал под нагрузкой, но держался. Продержался он 19 часов с небольшим. Исследователь KillaBoi уронил PHP в out-of-memory, вытащил адреса из кучи через раздутые cookie, подделал callback и получил выполнение команд. Ключ извлечён, эксплойт работает, хайп подтверждён. Дальше начинается настоящая комедия. Украденный ключ не подходит к кошельку с призом. Автор челленджа, как выяснилось, выложил ключ не от того адреса. То есть все эти часы интернет штурмовал сейф, в котором лежала квитанция от соседнего сейфа. Автор честно признал ошибку и пообещал перевести деньги вручную. Кошелёк опустел. Итоги эксперимента: 1. PHP2Shell эксплуатируется, в том числе на FPM. 2. Биткоины украсть не удалось, их пришлось подарить. 3. Сложнее всего в этой истории оказалось не написать эксплойт, а правильно экспортировать ключ из собственного кошелька. Патчитесь. И проверяйте, что именно вы прячете 😂 @gostev_future

PHP2Shell: пять дней спустя Пять дней с раскрытия PHP2Shell (CVE-2026-109618/109619), и итог парадоксальный: попыток эксплуатации миллионы, подтверждённых взломов ни одного. Cloudflare увидела десятки тысяч попыток в первые 45 минут после раскрытия, а к 22 октября — миллионы. Ханипоты вендоров показывают одно и то же: сканирование, зондирование, неудачные попытки. CrowdStrike прямо пишет: успешной эксплуатации нет ни в реальных атаках, ни в её ханипотах, и нет эксплойта, пригодного для массового применения. CISA обе CVE в каталог активно эксплуатируемых уязвимостей (KEV) не внесла. Почему так? Главное препятствие — ASLR. VulnCheck насчитал на GitHub сотни «PoC», рабочих среди них единицы. Они работают в лабораторных условиях или на нетипичных конфигурациях. Проверенные Mandiant бьют по Apache с mod_php, но против nginx + PHP-FPM не работают. Атакующие при этом стараются. Ботнет на базе Mirai пытается заражать серверы, с китайского IP пробуют забросить веб-шелл через файл сессии. SOCRadar нашёл на открытом сервере атакующего «one-click» эксплойт под PHP 8.4.26 и Apache mod_php, собранный и проверенный в лаборатории. На реальных целях он не сработал: оператор прогнал инструмент по 123 серверам, но ни одного выполнения кода в его же логах нет. Amazon фиксировал попытку эксплуатации за четыре дня до раскрытия: кто-то получил информацию раньше времени. Компания пишет о массовой эксплуатации, хотя сама признаёт, что неясно, сработала бы хоть одна попытка. Mandiant допускает, что ограниченная эксплуатация уже могла начаться. Формулу «exploited in the wild» в отчётах сейчас стоит читать критически: похоже она означает «пытались», а не «взломали». Расслабляться при этом рано: у защитников рабочие эксплойты уже есть. — У самой CrowdStrike есть собственный эксплойт. Он стабильно работает на x86-64 и ARM, не ломается при перезапуске рабочих процессов, а на ARM-хостах, которых в облаках всё больше, обходит ASLR одними HTTP-запросами. — VulnCheck сделал эксплойт, который обходит ASLR и на x86-64, даже с рекомендованными production-настройками. Пока он доступен только клиентам компании. — Datadog тоже сообщает об обходе ASLR. Вдобавок нашелся третий баг из той же серии (CVE-2026-115560), но для него нужна настолько экзотическая конфигурация, что PHP исправит его в плановом релизе, а не срочно. Пока же советует выключить session.upload_progress. @gostev_future

В кибербезопасности, как в журналистике, главное — успеть первым. Неважно, с чем. Даже если новость звучит как «наших клиентов взломали». Фразу «зафиксирована успешная эксплуатация в средах клиентов» вендоры защиты обычно произносят в последнюю очередь, шёпотом и через юристов. По сути, она означает: нас купили, чтобы этого не случилось, а оно случилось. Sophos же произнёс её сам, публично и, похоже, очень торопясь успеть первым. 22 октября, 16:18 UTC. Sophos наблюдает успешную эксплуатацию PHP2Shell в средах клиентов. Апокалипсис наступил, и мы первыми сообщаем об этом миру. То, что наступил он на наших же клиентов, — детали. Да, комета падает на наш дом, зато увидели мы её раньше всех. Через пять часов, в 21:21 UTC, — исправление: «по результатам дальнейшего анализа мы корректируем эту оценку». Телеметрия видела сканирование и небольшое число неудачных попыток. Свидетельств успешной компрометации нет. То есть «успешная эксплуатация» за пять часов прошла путь от инцидента до сканирования, хотя обычно бывает наоборот. Примерно так метеослужба, торопясь первой объявить ураган, потом уточняет: при дальнейшем анализе это был ветер. Небольшой. И мимо. В том же исправлении компания признает, что её собственная Adversary Group пытается сделать рабочий эксплойт и пока не может, даже с помощью ИИ. Справедливости ради, Sophos признал ошибку публично. Но вопрос «а что, собственно, анализировали в первый раз?» остается. Отличить «нас успешно взломали» от «в нас неудачно постучали» — ровно то, ради чего клиенты платят за телеметрию. @gostev_future