По PHP2Shell расклад на сегодня следующий: - Согласно результатам сканирования Qualys и Ox Security (1 и 2), более 99% всех PHP-серверов, уязвимых для PHP2Shell, до сих пор не защищены от атак. В целом, 73% всех PHP-ресурсов в интернете уязвимы для атак. - Сообщения об активной эксплуатации PHP2Shell имеются. Вредоносная активность была обнаружена Perplexity, чьи ханипоты зафиксировали подтвержденное RCE в установке Apache mod_php, работающей под управлением PHP 8.4.26. - Вышеупомянутые наблюдения подтвердил также исследователь Expel Маркус Хатчинс, отслеживающий сообщения о предполагаемых успешных случаях эксплуатации уязвимости PHP2Shell. - По данным TRACE Dataminr, до этих случаев вредоносная деятельность «ограничивалась сканированием и попытками реализации неработающих эксплойтов, без каких-либо случаев компрометации. - Arctic Wolf связывает некоторые из этих атак с конкретным злоумышленником, а именно с ботнетом Potassium, семейством на основе Mirai, который впервые был обнаружен ранее в этом году. - CYFIRMA заявила о раскрытии предположительно связанной с КНДР кампании, в которой использовался PHP2Shell для активного исследования глобальной инфраструктуры PHP с 21 скомпрометированного узла. Сканирование намеренно проводится в небольших объемах и в умеренном темпе. Целевые серверы включают в себя 216 незащищенных или частично защищенных серверов, расположенных в США, Японии, Южной Корее, Таиланде, Индонезии, Австралии, Тайване, Индии, Сингапуре, ОАЭ, Саудовской Аравии и ЕС. К целевым секторам относятся правительственные учреждения, финансовые организации, логистические компании, аэропорты и авиационную отрасль, производственные предприятия и платформы для онлайн-транзакций. - Defused Cyber сообщает, что также наблюдает атаки PHP2Shell на свои ловушки GlobalProtect от Palo Alto Networks. Активность исходит с IP-адреса 204.76.203[.]7, известного адреса для массовых эксплойтов. Запросы содержат маркер PHP_SESSION_UPLOAD_PROGRESS (p2s-rider) и фиктивную загрузку файла без полезной нагрузки. - В пятницу команда безопасности PHP также поделилась мерами по устранению новой RCE (CVE-2026-115560), для которой нет исправления и которая может быть использована только при атаке на системы с «необычным сочетанием конфигурации и кода приложения». - Corelight, OpenAI и Searchlight выпустили инструменты для сканирования PHP-систем и определения их уязвимости к атакам PHP2Shell. - Исследователи Лаборатории Касперского представили правила для SIEM-системы KUMA и события для разработки собственных правил детектирования или проведения threat hunting. Кроме того, выкатили описание детектирования вредоносной активности с помощью сервиса Kaspersky Managed Detection and Response, а такие уязвимых версий PHP с помощью Kaspersky Vulnerability Management. - Позитивы указали Suricata‑сигнатуры, а Бизоны рассказали, как BI.ZONE EDR и BI.ZONE SOC выявляют эксплуатацию CVE-2026-109618/619 в PHP.