В продолжение по PHP2Shell хотелось бы отметить еще ряд важных моментов. По данным Amazon, злоумышленники начали проверку серверов, затронутых двумя критическими уязвимостями в PHP, за четыре дня до выхода исправлений. Первая эксплуатация PHP2Shell произошла 17 октября с анонимизированного IP, когда информация об уязвимостях еще не была опубликована. Примерно за 12 часов до публичного раскрытия Amazon выявила несколько прототипов PHP2Shell на основе дополнительной анонимизированной инфраструктуры. Различия в полезных нагрузках и происхождении указывают на участие нескольких злоумышленников. Как отмечает в Amazon, после снятия эмбарго и выпуска патча в течение нескольких часов появились дополнительные эксплойты, а сейчас PHP2Shell широко используется киберподпольем в реальных условиях. В свою очередь, WatchTowr, как мы уже отмечали, также зафиксировала массовое использование уязвимостей вскоре после выпуска патчей, хотя ни один из распространяемых PoC не обеспечивал RCE. По данным телеметрии Cloudflare, за 10 часов до публичного объявления фиксировались тысячи попыток взлома, за 45 минут после объявления их число подскочило до десятков тысяч, за 2 часа - до сотен тысяч, а сейчас - до миллионов. Как сообщила ELLIO, первый запрос PHP2Shell, направленный на их датчики, был зафиксирован 21 октября 2026 года в 8:36 утра по UTC, менее чем через час после того, как Chainguard в одностороннем порядке нарушила эмбарго и опубликовала собранные образы, содержащие исправление. Исследователи JFrog обнаружили, что на GitHub уже публикуются фейковые эксплойты и вредоносные ПО, нацеленные на PHP2Shell. VulnCheck сообщает, что по меньшей мере с одного китайского IP была предпринята безуспешная попытка использовать уязвимость PHP2Shell для развертывания веб-оболочки. Согласно данным VulnCheck, VirusTotal и Censys, по состоянию на 21 октября более 1 млн. PHP-серверов работали под управлением необновлённых версий ПО. А если точнее, то: - Из 2,58 млн. доступных из интернета хостов, зарегистрированных 21 октября, примерно 1,58 млн. сообщали об идентифицируемых версиях PHP, а около 1,57 млн. не были обновлены. По состоянию на 22 октября Censys отследила почти 3 млн. доступных из интернета хостов PHP. - В VulnCheck обнаружили более 2,6 млн. доступных из интернета хостов используют PHP, и почти все они уязвимы. По меньшей мере 1 млн. используют версии PHP, поддержка которых прекращена: более 700 000 - это PHP 3.x - 7.3, а почти 400 000 - PHP 7.4, 8.0 или 8.1. - По данным VirusTotal, примерно 5,1 млн. IP используют PHP, но только 1,1 млн. из них указывают версию в HTTP-заголовке. Из них лишь около 272 000 используют поддерживаемую версию PHP, в то время как большинство (около 758 000) используют устаревшие версии (PHP 5.4–8.1). По мнению исследователей Forescout и Expel, PHP2Shell имеет потенциал стать событием масштаба Log4Shell и уже примерно на 50% приблизился к нему. Кстати, OpenAI, назвавшая эти недостатки «одной из самых серьезных проблем безопасности за последнее время», выпустила навык Codex для проверки уязвимости сайта или локального исполняемого файла PHP к PHP2Shell.