PHP2Shell: критические уязвимости в PHP. Две уязвимости с оценкой CVSS 9.2 позволяют удалённо выполнить код на 70% всех веб-сайтов без аутентификации.

21 октября 2026 года исследователи Calif Research опубликовали подробный разбор двух критических уязвимостей PHP, получивших название php2shell. Исправления уже выпущены, однако масштаб использования PHP и сложность обновления серверов создают условия для массовых атак.

В чем заключается проблема❓
Уязвимости зарегистрированы под идентификаторами CVE-2026-109618 и CVE-2026-109619 и связаны с некорректной обработкой памяти при возникновении ошибок во время обработки HTTP-запросов.

Механизмы эксплуатации разные:
1️⃣CVE-2026-109618 — RCE через повреждение состояния при исчерпании памяти. Когда PHP превышает установленный лимит памяти и аварийно завершает обработку запроса, некоторые внутренние структуры могут оказаться частично инициализированными. Последующая очистка использует некорректное состояние.
2️⃣CVE-2026-109619 — RCE через устаревшее глобальное состояние. Внутренние структуры продолжают ссылаться на уже освобождённую память. При обработке последующего запроса оставшееся состояние может быть использовано повторно, что создаёт условия для эксплуатации.

❗️В результате атакующий может добиться удалённого выполнения кода, раскрытия данных или нарушения доступности сервиса.

Официальное описание можно найти в бюллетени.

🧿Масштаб проблемы

PHP используется почти на 70% веб-сайтов. Уязвимости php2shell затрагивают саму среду выполнения PHP. Уязвимы все версии PHP начиная с PHP 5. По оценке одного исследователя в сфере кибербезопасности, уязвимость затрагивает более 1,3 млн, подключённых к интернету хостов.

Из-за потенциального масштаба проблемы отдельные организации решили временно отключить публичные сервисы, пока не смогут установить исправления.

Как сообщает Reuters, меры затронули сайты государственных ведомств и организаций в Нидерландах, Франции, Дании и Финляндии.

🪧Что делать администраторам?

Международные команды реагирования призвали администраторов как можно скорее обновить PHP, а при невозможности своевременно установить исправления — ограничить доступ к уязвимым сервисам или временно отключить их.

Разработчики PHP уже выпустили исправления. Для основных поддерживаемых веток необходимо обновиться как минимум до следующих версий: PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35.

🔎Для PHP 8.1 и более старых веток официальный проект больше не выпускает обновления.

#PHP #news #rce

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🦈BruteShark

Инструмент сетевого криминалистического анализа (Network Forensic Analysis Tool, NFAT), который выполняет глубокую обработку и проверку сетевого трафика (в основном файлов PCAP, но также может осуществлять прямой захват трафика с сетевого интерфейса.

Решение имеет трехуровневую архитектуру, включающую один или несколько проектов на каждом уровне — DAL, BLL и PL. Разделение между уровнями достигается за счет того, что каждый проект ссылается только на свои собственные объекты

Функционал
⏺️Извлечение и кодирование имен пользователей и паролей (HTTP, FTP, Telnet, IMAP, SMTP...);
⏺️Извлечение хэш-значений аутентификации и их взлом с помощью Hashcat (Kerberos, NTLM, CRAM-MD5, HTTP-Digest...);
⏺️Построение визуальной схемы сети (узлы сети, открытые порты, пользователи домена);
⏺️Извлечение DNS-запросов;
⏺️Восстановление всех TCP- и UDP-сессий;
⏺️File Carving;
⏺️Извлечение VoIP-вызовов (SIP, RTP).

⬇️Установка
➡️Windows
Для настольной версии скачайте установщик BruteSharkDesktop для Windows (64-разрядная версия).
Для версии CLI скачайте исполняемый файл BruteSharkCli для Windows 10.

➡️Linux
Скачайте BruteSharkCli и просто запустите его:

wget https://github.com/odedshimon/BruteShark/releases/latest/download/BruteSharkCli
./BruteSharkCli

🔎Использование
При загрузке больших pcap файлов рекомендуется выбирать только необходимые модули.

1️⃣Получить учетные данные из всех файлов в каталоге (пароли и хэш-значения будут выведены в стандартный поток вывода):

 BruteSharkCli -m Credentials -d "<TODO>\Pcap Files"

2️⃣Получить учетные данные из всех файлов в каталоге, а также экспортировать извлеченные хэш-значения (если они есть) во входные файлы Hashcat.

 BruteSharkCli -m Credentials -d <TODO>\Pcap_Examples -o <TODO>\Results

3️⃣Запуск нескольких модулей для всех файлов в каталоге, а также экспорт всех результатов.

 BruteSharkCli -m Credentials,NetworkMap,FileExtracting -d <TODO>\Pcap_Examples -o <TODO>\Results

🚗Искать и анализировать следы кибервзломов (анализ артефактов, работа с opensource инструментами) можно научиться на курсе Цифровая криминалистика и реагирование на инциденты ОС Linux (DFIR), который стартует 26 октября. Успейте записаться!🎇

#dfir #tools #network

🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

🚩 Новые задания на платформе HackerLab!

🧰 Категория PWN — Отвергнутый malloc'ом чанк, освобождённый и забытый своим хозяином, заново рождается в глубинах кучи - но пробуждённая в момент смерти способность "Tcache Poisoning" девятитысячного уровня позволяет ему переписывать судьбу соседних чанков и обращать указатели против всей аллокаторной иерархии, дабы стать сильнейшим владыкой malloc'а всех времён, хотя, если верить летописям, чтобы дать чанку столь запретную силу, автор таска явно воспользовался артефактом «Тяжёлая лакрица», прежде чем всё это придумать!

Приятного хакинга!