Хакер за 19 часов взломал через PHP2Shell сервер-приманку с биткоинами на $2000

Сервер с необновлённой версией PHP оставили в сети, положив внутрь в качестве приманки ключ от биткоин-кошелька. Он продержался меньше суток. Исследователь под ником КиллаБой (KillaBoi) проник на сервер через PHP2Shell — две критические уязвимости в языке, на котором работает большая часть интернета, — и извлёк ключ. В те же выходные приманка на сервере, которую устроил руководитель службы безопасности Perplexity, зафиксировала, как злоумышленник проделал то же самое с настоящим сервером. Это развеивает успокоительную версию о том, что использовать эти уязвимости слишком сложно.

Это важно и для тех, кто управляет сайтами, и для тех, чьи данные на них хранятся. PHP лежит в основе WordPress, Drupal, Joomla и большинства услуг виртуального хостинга, а эти уязвимости позволяют человеку без учётной записи выполнять команды на сервере. После выхода исправлений главным доводом в пользу того, чтобы не спешить с обновлением, было то, что публичные попытки атак проваливались. Теперь оба результата опровергают этот аргумент.

Испытание под названием Steal My Bitcoin появилось на отдельном сайте, а о нём объявили в сообщении на форуме. Его создатель, выступавший под ником cloudlandsdev, написал: «Я устроил это, потому что мне любопытно, нашёлся ли кто-нибудь, кто понял, как на самом деле использовать эту уязвимость PHP для удалённого выполнения кода. Последние несколько дней мы паниковали. Удачи!» Сначала в призовом фонде было около $502, но благодаря пожертвованиям сумма выросла до 0.02511679 BTC — на момент получения выигрыша это составляло $2 021,22. По данным Tom’s Hardware, приз забрали примерно через 19 часов после запуска. Сервер не выдержал наплыва желающих попробовать свои силы, а из-за нехватки места для хранения не удалось сохранить все журналы событий.

Затем КиллаБой опубликовал на GitHub подтверждение работоспособности метода. Марк Маундер (Mark Maunder), основатель компании Wordfence, специализирующейся на безопасности WordPress, назвал эту публикацию «безоговорочно лучшим объяснением того, насколько сложно эксплуатировать #php2shell», отметив, сколько точной работы требовала атака. Как выяснилось, сложность не означала, что всё затянется.

Куда тревожнее оказался результат за пределами игры. Адель Карими, руководитель направления обнаружения угроз и реагирования в Perplexity, сообщил, что его серверы-приманки зафиксировали подтверждённое удалённое выполнение кода на сервере Apache с PHP 8.4.26. «Теперь это подтверждённое удалённое выполнение кода с возможностью извлечь полезные данные из памяти, а не просто сбой, за которым последовал подозрительный процесс», — написал он, как сообщает BleepingComputer. Исследователь угроз компании Expel Маркус Хатчинс, следивший за сообщениями об успешных атаках, назвал этот случай «безусловно самым убедительным подтверждением эксплуатации php2shell в реальных условиях из всех, что я видел». До этого Cloudflare, watchTowr, Patchstack и другие компании в сфере безопасности регистрировали только неудачные попытки, а команда Amazon, занимающаяся анализом угроз, заметила начало сканирования за четыре дня до выхода исправлений.

Ни один из этих результатов не означает, что завтра под угрозой окажется каждый сервер без обновлений. Ключ, извлечённый КиллаБоем, не совпал с адресом кошелька, указанным на сайте; организатор назвал это ошибкой при подготовке и заявил, что средства переведут, сообщает Cointelegraph. Кроме того, сайт о кибербезопасности Cyberpress отмечает: опубликованные доказательства показывают, что ключ удалось получить, но не подтверждают кражу приза. Опубликованный эксплойт также рассчитан на конкретную сборку PHP и не работает с другими сборками той же версии, поэтому воспользоваться им одним нажатием кнопки не получится. Но теперь уже нельзя утверждать, что никому не удалось заставить его работать.

Уязвимость затрагивает весь мир. Правительственные ведомства Нидерландов, Австралии, Японии и Финляндии отключили критически важные сайты, пока готовились исправления, сообщает Cointelegraph. По подсчётам компании в сфере безопасности Mallory на основе данных Shodan, около 884 000 доступных из интернета узлов сообщают о версии PHP, для которой больше не выпускают официальные исправления. Это 59% примерно от 1,5 миллиона узлов, раскрывающих такую информацию, пишет Notebookcheck. Речь идёт о количестве серверных баннеров, а не о подтверждённых жертвах: дистрибутивы Linux часто обновляют старые пакеты, не меняя номер версии.

Для владельцев сайтов порядок действий не изменился. Исправленные версии — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — выпустили 21 октября для уязвимостей CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 из 10. На виртуальном хостинге обновление устанавливает провайдер, а не WordPress или его плагины. Поэтому стоит спросить у него, какая сборка PHP используется на вашем сайте и когда для неё установили исправление. Агентство США по кибербезопасности CISA рекомендовало организациям, которые не могут обновить системы или всё ещё используют PHP 8.1 и более ранние версии, отключить их от сети до тех пор, пока обновление не станет возможным.

Следующая проблема уже обнаружена. В пятницу команда PHP опубликовала временное решение для третьей уязвимости удалённого выполнения кода — CVE-2026-115560. Исправления для неё пока нет, и она затрагивает только системы «с необычным сочетанием конфигурации и кода приложения». Пока не выйдет исправление, разработчики PHP рекомендуют отключить параметр session.upload_progress — тот же шаг они советовали предпринять до выхода исправлений для PHP2Shell. Поддержка безопасности PHP 8.2 закончится 31 декабря 2026 года, а у серверов, которые так и не ушли с версии 8.1, срок поддержки уже истёк.

Теги: кибербезопасность, bitcoin, Perplexity, PHP, PHP2Shell, WordPress