Як виявити експлуатацію PHP RCE (PHP2Shell) за допомогою Greycortex Mendel

Публічний exploit chain націлений на дві критичні вразливості PHP із CVSS 9.2, надаючи неавтентифікованим зловмисникам віддалене виконання коду до спрацювання прикладних засобів захисту.

PHP2Shell — це публічний exploit chain для CVE-2026-109618 та CVE-2026-109619, обидві з рейтингом CVSS v4.0 9.2. Вразливості спрацьовують до коду застосунку, тому логіни та захист на рівні додатка їх не зупиняють. За даними Sansec, атаки почалися 21 жовтня — за кілька годин до виходу патчів. Softprom є офіційним дистриб'ютором Greycortex.

Що було анонсовано

Greycortex опублікував playbook для полювання на загрозу PHP2Shell у GREYCORTEX Mendel. Playbook містить сім IDS-правил і покрокові мережеві фільтри, що допомагають SOC-командам виявляти спроби експлуатації в реальному часі, навіть коли зловмисники змінюють payload.

Виправлені версії PHP: 8.5.12, 8.4.27, 8.3.36 та 8.2.35. PHP 8.1 і старіші не отримують офіційного релізу, тож потрібні патчі від дистрибутива або LTS-вендора.

Чому це важливо

PHP використовується на величезній частці публічних веб-ресурсів, включно з CMS, панелями керування та appliance-рішеннями. Неавтентифікована RCE в середовищі виконання обходить сигнатури WAF, змушуючи CISO переходити від сигнатурного блокування до поведінкового виявлення на рівні мережі.

Атаки стартували до виходу патча, тому захисникам потрібна мережева видимість, а не лише endpoint-телеметрія

Технічні деталі

• Вразливості: CVE-2026-109618 та CVE-2026-109619, CVSS v4.0 9.2, pre-auth RCE у PHP.
• Виправлені версії: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35.
• Пом'якшення: session.upload_progress.enabled=0 у php.ini; у PHP 8.5 також fatal_error_backtraces=0; перезапуск воркерів; обмеження розміру запиту; блокування multipart/form-data там, де не потрібні завантаження.
• Поведінкові індикатори: multipart POST з PHP_SESSION_UPLOAD_PROGRESS, сплески 502/503, Allowed memory size exhausted у логах PHP, викривлений чи завеликий PHPSESSID у Set-Cookie.
• Пост-експлуатація: веб-сервер запускає shell, curl, wget, встановлює з'єднання з невідомими адресами або сканує внутрішні хости.
• Реагування: ізоляція хоста, збереження логів і PCAP, патч, ротація паролів, API-ключів, session-секретів і приватних TLS-ключів.

Часті запитання

Що таке PHP2Shell?

PHP2Shell — це публічний exploit chain для двох критичних вразливостей PHP, CVE-2026-109618 та CVE-2026-109619, що дає неавтентифікованим зловмисникам віддалене виконання коду на будь-якому сервері з PHP.

Які версії PHP усувають вразливості?

Виправлені версії — PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. PHP 8.1 і старіші не отримують офіційного релізу, тому слід застосовувати патчі від дистрибутива або LTS-вендора.

Як Greycortex Mendel допомагає виявити експлуатацію?

Mendel постачає playbook PHP2Shell із сімома IDS-правилами та поведінковими фільтрами, що виявляють підозрілі multipart POST, патерни вичерпання пам'яті та аномальні вихідні з'єднання веб-серверів навіть за зміни payload.

Softprom та Greycortex

Softprom є офіційним дистриб'ютором Greycortex. Платформа Greycortex Mendel NDR допомагає SOC-командам отримати мережеву видимість, полювати на складні загрози та реагувати на zero-day експлуатацію, як-от PHP2Shell.

Підготовлено редакцією Softprom за матеріалами вендора (Softprom DistriFlow). Джерело: оригінальна стаття.