По словам эксперта по информационной безопасности компании «Газинформсервис» Арсения Мальгинова, уязвимость находится в ядре интерпретатора, поэтому потенциально уязвим любой сервер, который обрабатывает веб-запросы на PHP: PHP-FPM, Apache с mod_php, php-cgi.
«После обновления стоит проверить по журналам, не появилось ли новых .php-файлов и подозрительных процессов, запущенных от имени веб-сервера. Ветки 8.1 и более ранние исправлений не получат, а PHP часто может находиться там, где о нём вообще забыли, например на веб-интерфейсе мониторинга, сервис-деске или старом внутреннем портале», — отметил он.
Найти такие серверы можно через Efros DefOps: модуль ICC собирает перечень пакетов на Linux-хостах, поэтому версии PHP видны по всему парку, а моделирование векторов атак с помощью модуля VC на карте сети покажет, какие из уязвимых серверов доступны извне с учётом правил межсетевых экранов и маршрутизации.
Также эксперт компании «Газинформсервис» рекомендует оперативно обновить PHP до актуальной версии, а после патчинга проверить журналы веб-серверов на признаки компрометации.
Эксперт компании «Газинформсервис»: забытый веб-сервис может быть серьёзной брешью в безопасности
Выявлены две критические уязвимости в интерпретаторе PHP — CVE-2026-109618 и CVE-2026-109619 (проект PHP2Shell). Обе имеют рейтинг CVSS 9.2 и позволяют злоумышленнику удалённо выполнять код без аутентификации. Исправления вышли 21 октября, однако первые попытки атак Amazon зафиксировал на своих ловушках ещё 17 числа.
Тематики: Безопасность
Ключевые слова: информационная безопасность, Газинформсервис
Свежее по теме
