Как обнаружить эксплуатацию PHP RCE (PHP2Shell) с помощью Greycortex Mendel

Публичная цепочка эксплойтов нацелена на две критические уязвимости PHP с рейтингом CVSS 9.2 и даёт неавторизованному злоумышленнику удалённое выполнение кода до срабатывания прикладных средств защиты.

PHP2Shell — это публичная цепочка эксплойтов для CVE-2026-109618 и CVE-2026-109619, обе с рейтингом CVSS v4.0 9.2. Уязвимости срабатывают до кода приложения, поэтому аутентификация и защита уровня приложения их не останавливают. По данным Sansec, атаки начались 21 октября, за несколько часов до выхода патчей. Softprom является официальным дистрибьютором Greycortex.

Что было анонсировано

Greycortex опубликовал playbook для threat hunting PHP2Shell в GREYCORTEX Mendel. Playbook содержит семь IDS-правил и пошаговые сетевые фильтры, помогающие SOC-командам выявлять попытки эксплуатации в реальном времени, даже когда злоумышленники меняют payload.

Исправленные версии PHP: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. PHP 8.1 и старше не получают официального релиза, поэтому необходимы патчи дистрибутива или LTS-вендора.

Почему это важно

PHP работает на значительной доле публичной веб-инфраструктуры, включая CMS, панели управления и appliance-решения. Неавторизованное RCE в среде выполнения обходит сигнатуры WAF, вынуждая CISO переходить от сигнатурной блокировки к поведенческому обнаружению на сетевом уровне.

Атаки начались до выхода патча, поэтому защитникам нужна сетевая видимость, а не только endpoint-телеметрия

Технические детали

• Уязвимости: CVE-2026-109618 и CVE-2026-109619, CVSS v4.0 9.2, pre-auth RCE в PHP.
• Исправленные версии: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35.
• Меры митигации: session.upload_progress.enabled=0 в php.ini; в PHP 8.5 также fatal_error_backtraces=0; перезапуск воркеров; ограничение размера запроса; блокировка multipart/form-data там, где загрузки не нужны.
• Поведенческие индикаторы: multipart POST с PHP_SESSION_UPLOAD_PROGRESS, всплески 502/503, Allowed memory size exhausted в логах PHP, искажённый или слишком большой PHPSESSID в Set-Cookie.
• Пост-эксплуатация: веб-сервер запускает shell, curl, wget, подключается к неизвестным адресам или сканирует внутренние хосты.
• Реагирование: изоляция хоста, сохранение логов и PCAP, патч, ротация паролей, API-ключей, session-секретов и приватных TLS-ключей.

Часто задаваемые вопросы

Что такое PHP2Shell?

PHP2Shell — это публичная цепочка эксплойтов для двух критических уязвимостей PHP, CVE-2026-109618 и CVE-2026-109619, позволяющая неавторизованному злоумышленнику выполнять код на любом сервере с PHP.

Какие версии PHP устраняют уязвимости?

Исправленные версии — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. PHP 8.1 и старше не получают официального релиза, поэтому необходимо применять патчи дистрибутива или LTS-вендора.

Как Greycortex Mendel помогает обнаружить эксплуатацию?

Mendel поставляет playbook PHP2Shell с семью IDS-правилами и поведенческими фильтрами, которые выявляют подозрительные multipart POST, паттерны исчерпания памяти и аномальные исходящие соединения веб-серверов даже при смене payload.

Softprom и Greycortex

Softprom является официальным дистрибьютором Greycortex. Платформа Greycortex Mendel NDR помогает SOC-командам получить сетевую видимость, охотиться на сложные угрозы и реагировать на эксплуатацию zero-day, такую как PHP2Shell.

Подготовлено редакцией Softprom по материалам вендора (Softprom DistriFlow). Источник: оригинальная статья.