Специалисты Bi.Zone зафиксировали первые попытки эксплуатации двух критических уязвимостей в PHP, затрагивающих около 50 тысяч веб-приложений в российском сегменте интернета. Атаки были выявлены 21 октября, когда для уязвимостей CVE-2026-109618 и CVE-2026-109619 еще не были выпущены официальные исправления. Эксплуатация позволяет удаленно выполнять команды на веб-сервере без авторизации, что ставит под угрозу данные и системы, доступные процессу PHP.
Уязвимости оценены на 9,2 из 10 по шкале CVSS 4.0 и связаны с ошибкой use-after-free в механизме обработки загрузки файлов session.upload_progress. Злоумышленники могут отправить специально сформированный POST-запрос для компрометации сервера. Исследователи отмечают, что в сети уже опубликованы технические материалы об эксплуатации, а для распространенных сборок подготовлены параметры, упрощающие настройку эксплоита. Алексей Романов, руководитель Bi.Zone WAF, указал, что организации должны проверить версии PHP и подготовиться к обновлению, а при отсутствии исправления рассмотреть временное ограничение доступа к приложениям.
Компания Bi.Zone разработала правило для своего WAF, которое выявляет типовые варианты атак по характерным признакам в теле запроса. Однако защита не гарантирует блокировку всех вариантов, так как измененный набор данных или иной способ доставки могут обойти правило. Платформа Bi.Zone EASM помогает инвентаризировать внешние IT-активы, выявлять доступные сервисы и показывать сведения об их версиях, что позволяет специалистам по кибербезопасности определить уязвимые активы и приоритизировать проверку.
В материалах ТАСС от 21 октября упоминается, что исправления к уязвимостям уже были выпущены разработчиками PHP, что противоречит данным Bi.Zone о том, что на момент обнаружения атак исправлений еще не было. Также в источниках нет единой информации о том, были ли уже зафиксированы успешные взломы или только попытки атак, а также о конкретном ущербе, нанесенном в результате эксплуатации.