Уязвимости в ядре PHP (CVE-2026-109618 и CVE-2026-109619, коллективно именуемые PHP2Shell) — это, безусловно, самая важная новость прошлой недели. Во вторник, 20 октября, разработчики PHP анонсировали патчи, в среду выпустили обновления для поддерживаемых веток PHP 8.2–8.5 и неподдерживаемых PHP 7.4, 8.0, 8.1, а также предложили частично работающие меры противодействия атакам для тех, кто по какой‑то причине прямо сейчас обновиться не сможет.
Обе уязвимости в теории обеспечивают возможность выполнения произвольного кода на сервере без авторизации. Важной особенностью любого подобного инцидента является длительность окна между публикацией патчей и началом активной эксплуатации уязвимостей. И в данном случае ожидания были предельно пессимистические: предполагалось, что атаки на уязвимые серверы начнутся в течение 15 минут после выпуска патчей. Из‑за этого в ряде стран были превентивно выключены сайты государственных сервисов. Представители Amazon сообщали также о попытках эксплуатации за 4 дня до выпуска патчей. Тем не менее подтвержденные атаки с работающими эксплойтами начались только в воскресенье 25 октября.
Для любой уязвимости в популярном программном обеспечении, особенно для той, что затрагивает 70% веб‑сайтов, важен процесс скоординированного раскрытия информации. Развитие ИИ‑ассистентов для поиска уязвимостей в ПО привело к тому, что проблем в софте стали обнаруживать больше, но также упростилась и разработка эксплойтов. В результате практически исчезла задержка между выпуском патча и появлением рабочих методов эксплуатации уязвимости. По крайней мере, таковы были ожидания после анонса разработчиков PHP 20 октября. Следствием этого и стали отключения критически важных веб‑сайтов в разных странах. Однако массовой эксплуатации уязвимостей сразу после выпуска патчей не произошло. Представители компании CrowdStrike 23 октября сообщали об объективных сложностях для использования проблем PHP в реальных атаках.
Впрочем, этап эксплуатации уязвимостей уже начался, и обновлять уязвимые серверы необходимо как можно скорее. Здесь показано, что по состоянию на 25 октября в рунете только пятая часть веб‑сайтов из TOP 10 000 точно работала на исправленной версии PHP. Специалисты «Лаборатории Касперского» подготовили рекомендации для собственных корпоративных клиентов, а также для обычных пользователей. Баги в PHP являются проблемой и в домашней инфраструктуре: патчи придется накатить как для готовых систем хранения данных, так и для серверного ПО, такого как Unraid и Nextcloud.
Что еще произошло
Еще одна громкая новость недели — компрометация сертификатов индийского удостоверяющего центра eMudhra. Как выяснилось, для генерации восьми промежуточных сертификатов этой компании использовались примитивные приватные ключи длиной от 3 до 8 бит вместо положенных по стандарту 384-битных. Результатом стала массовая кампания по отзыву скомпрометированных TLS‑сертификатов, а сама компания eMudhra Limited в итоге решила прекратить деятельность в качестве удостоверяющего центра.
Эксперты «Лаборатории Касперского» анализируют практики безопасного внедрения ИИ‑инструментов в корпоративной среде. Еще одна публикация разбирает сложную атаку, в которой вновь используется буткит BlackLotus. А в этой статье изучаются новые операции группировки Lazarus.
Представители проекта Zero Day Initiative компании Trend Micro по ошибке направили информацию о свежих уязвимостях в ядре Linux в публичную рассылку Linux Kernel Mailing List, вместо того чтобы воспользоваться приватными каналами.
Специалисты Eye Security рассказывают как они смогли предотвратить массовое заражение клиентов, использующих популярное в свое время, но ныне заброшенное ПО Popcorn Time, точнее его форк Time4Popcorn. Уязвимая система обновления ПО могла быть использована для запуска вредоносного кода. Eye Security самостоятельно, путем установки контроля над 15 связанными с ПО доменными именами, распространила патч, закрывающий уязвимый механизм обновления.
Критическая, десятибалльная уязвимость обнаружена в GitLab. Проблема с идентификатором CVE-2026-110264 относится к компоненту Regular Expression Compiler и позволяет выполнять произвольный код на уязвимых инсталляциях.
В роутерах Broadcom (в основном в моделях, используемых интернет‑провайдерами) обнаружена уязвимость 16-летней давности.
Критические уязвимости на прошлой неделе также были закрыты в веб‑сервере nginx.
ссылка на оригинал статьи https://habr.com/ru/articles/1099774/