В кибербезопасности, как в журналистике, главное — успеть первым. Неважно, с чем. Даже если новость звучит как «наших клиентов взломали». Фразу «зафиксирована успешная эксплуатация в средах клиентов» вендоры защиты обычно произносят в последнюю очередь, шёпотом и через юристов. По сути, она означает: нас купили, чтобы этого не случилось, а оно случилось. Sophos же произнёс её сам, публично и, похоже, очень торопясь успеть первым. 22 октября, 16:18 UTC. Sophos наблюдает успешную эксплуатацию PHP2Shell в средах клиентов. Апокалипсис наступил, и мы первыми сообщаем об этом миру. То, что наступил он на наших же клиентов, — детали. Да, комета падает на наш дом, зато увидели мы её раньше всех. Через пять часов, в 21:21 UTC, — исправление: «по результатам дальнейшего анализа мы корректируем эту оценку». Телеметрия видела сканирование и небольшое число неудачных попыток. Свидетельств успешной компрометации нет. То есть «успешная эксплуатация» за пять часов прошла путь от инцидента до сканирования, хотя обычно бывает наоборот. Примерно так метеослужба, торопясь первой объявить ураган, потом уточняет: при дальнейшем анализе это был ветер. Небольшой. И мимо. В том же исправлении компания признает, что её собственная Adversary Group пытается сделать рабочий эксплойт и пока не может, даже с помощью ИИ. Справедливости ради, Sophos признал ошибку публично. Но вопрос «а что, собственно, анализировали в первый раз?» остается. Отличить «нас успешно взломали» от «в нас неудачно постучали» — ровно то, ради чего клиенты платят за телеметрию. @gostev_future