Сага PHP2Shell продолжается: злоумышленники находят новые способы эксплуатации критической уязвимости, затрагивающей миллионы организаций по всему миру.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) предупредило о серьезной уязвимости в ядре Linux, позволяющей повысить привилегии. Злоумышленники объединяют ее с уязвимостями PHP2Shell в реальных атаках.
Уязвимость, идентифицированная как CVE-2026-46300, может позволить злоумышленникам выполнять вредоносный код с правами root, предоставляя им неограниченные возможности для выполнения команд, изменения системных настроек, просмотра, редактирования или удаления файлов, а также совершения других вредоносных действий.
После получения доступа с правами root злоумышленники могут выполнять любые действия на сервере, включая, но не ограничиваясь, отключение сервера, создание и удаление учетных записей, подключение к другим серверам и установку/удаление программного обеспечения, пояснил Скотт Мисереджино, технический директор платформы безопасности и соответствия DataBee.
«PHP2Shell обеспечивает удаленный доступ, но этот доступ обычно ограничен учетной записью, используемой для запуска службы PHP», — сказал он. «Объединив его с CVE-2026-46300, злоумышленник может получить неограниченный доступ».
Исследователи из Dream Security обнаружили, что эта атака уже использовалась для взлома 25 серверов, включая три, связанные с правительством США.
Федеральным агентствам предписано устранить эту уязвимость, известную как Fragnesia.
Анатомия атаки
PHP — широко используемый язык сценариев с открытым исходным кодом для серверной стороны, который служит основой для таких веб-сайтов, как WordPress, который обеспечивает работу 43% интернета, а также Mailchimp, Drupal, частей Slack и Zoom и многих других.
На прошлой неделе PHP Foundation раскрыла две уязвимости в языке сценариев PHP, которые могли позволить злоумышленникам выполнять удаленное выполнение кода без аутентификации (RCE). CVE-2026-109618 и CVE-2026-109619 обе имеют критический рейтинг 9.2 по шкале Common Vulnerability and Scoring System (CVSS). Эти две уязвимости совместно отслеживаются как PHP2Shell. В результате раскрытия информации некоторые правительственные и корпоративные веб-сайты были полностью отключены в ожидании исправлений.
CVE-2026-46300, получившая название Fragnesia, является новым развитием в этой саге. Она идентифицирована как часть класса уязвимостей Dirty Frag, представляющего собой набор ошибок повышения локальных привилегий (LPE) в ядре Linux.
Исследователи Dream описали атаку, которую они отслеживали в реальных условиях: злоумышленники создали постоянный туннель во внутреннюю сеть «в течение нескольких часов». Они разработали два отдельных эксплойта, объединив их для атаки на любой межсетевой экран Palo Alto Network с уязвимой сборкой PAN-OS, и добились доступа с правами root одним HTTP-запросом без каких-либо учетных данных.
После получения прав root злоумышленник атаковал Active Directory (AD), получив возможность извлекать учетные данные и обнаруживать скрытые файлы, папки и другие конфиденциальные ресурсы, по словам исследователей Dream. Исследователи подтвердили, что злоумышленник получил полный список пользователей и групп AD, «полный организационный план», закрытые ключи и полную сетевую топологию, включая IP-адрес, имя хоста, роль сервера и VPN-шлюз, а также получил доступ к расшифрованным учетным данным служебных учетных записей, позволяющим выполнять прямые запросы к AD в любое время.
Враждебный актер также разместил около двух десятков межсетевых экранов в США, Японии, Тайване и Южной Корее, «готовых к эксплуатации в любое время». Исследователи Dream отметили, что взлом не выглядел как полностью автономная атака со стороны государства, но включал некоторые инструменты с использованием ИИ, такие как Claude Code и платформы для наступательной безопасности на базе ИИ, настроенные с китайскими большими языковыми моделями (LLM) DeepSeek и Kimi.
«Операция иллюстрирует, как открытый интерфейс управления может стать путем к инфраструктуре идентификации организации», — написали исследователи Dream.
Множество материалов для работы злоумышленников
Две уязвимости PHP предоставили злоумышленнику права на выполнение кода с использованием учетной записи веб-службы, а уязвимость ядра превратила это в права root, пояснил Аарон Бирдсли, менеджер отдела исследований угроз в Securonix, отметив: «Уязвимость ядра записывает свой полезный груз в кэш страниц, а не на диск».
Как только злоумышленник получает возможность выполнять код, ущерб, который он может нанести, зависит от разрешений и учетных данных, доступных этому процессу, пояснил он. Файлы конфигурации приложений, учетные данные базы данных и доступ к внутренним службам могут предоставить «множество материалов для работы злоумышленника». Они также могут иметь возможность выполнять команды, извлекать дополнительные инструменты или устанавливать постоянство.
«Веб-серверы имеют прискорбную привычку знать о других частях среды больше, чем кто-либо предполагал», — отметил он.
Последовательность действий после получения доступа, описанная исследователями, была следующей: получение прав root на периметральном узле, создание обратного туннеля Secure Shell (SSH) к внутреннему серверу управления, восстановление учетных данных службы Lightweight Directory Access Protocol (LDAP), затем «перечисление доменных пользователей и групп, распыление паролей и попытка создания учетных записей с бэкдорами в Active Directory».
PHP «держит значительную часть» интернета на протяжении десятилетий, и эти уязвимости находятся в самой среде выполнения, отметил Бирдсли. Установка WordPress предприятия может быть полностью пропатчена, плагины могут быть актуальными, но базовый процесс PHP все еще может быть уязвим для выполнения кода без аутентификации.
Сообщенное количество жертв (25 серверов на данный момент, в основном аппаратные межсетевые экраны в сети, связанной с правительством) — это то, что все будут цитировать, но это не самое интересное, сказал он. Количество жертв различается, и атрибуция «открыто оспаривается». Ничто из этого не имеет значения для защитников.
«Важно то, что этап повышения привилегий в этой цепочке невидим для проверки целостности на основе диска», — сказал Бирдсли, — «и что стандартный совет по устранению последствий уничтожает доказательства этого».
Устранение
К сожалению, CVE-2026-46300 — это низкоуровневая ошибка ядра Linux, поэтому единственным решением является обновление до пропатченной версии Linux, сказал Мисереджино из DataBee. Существуют некоторые варианты, не требующие полного патчинга, но они могут нарушить работу системы или, по крайней мере, потребовать отключения IPSec encapsulating security payload (ESP). Но это может привести к дополнительным уязвимостям.
«Установите патч для ядра и сначала захватите память всего, что вы подозреваете», — рекомендовал Бирдсли, отметив, что исправление Fragnesia не включено в исправления Dirty Frag. «Порядок сортировки здесь имеет большее значение, чем обычно, потому что перезагрузка стирает доказательства».
Кроме того, проверьте основные встроенные модули ядра *esp4* и *esp6*, которые отвечают за обработку сетевого протокола IPsec ESP, на каждом интернет-подключенном хосте Linux, посоветовал он. Если IPsec там ничем не завершается, «модулям не место быть загруженными», и их выгрузка устраняет путь уязвимости без ожидания окна обслуживания.
И проверьте, какие хосты хранят учетные данные службы каталогов, а затем оповестите о привязках LDAP от всего, что не входит в этот список, сказал он: «Это контроль, который останавливает цепочку на этапе, когда она перестает быть проблемой веб-сервера и становится проблемой домена». Далее, сказал он, перенаправьте обнаружение идентификационных данных на «источник, а не на инструмент».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Taryn Plumb
