Vulnerabilitățile PHP2Shell: de la scanări la execuție de comenzi

Atunci când o nouă vulnerabilitate critică este anunțată în mediul online, mulți manageri de firme tind să creadă că este doar o altă știre îndepărtată care privește doar marile corporații. Totuși, în activitatea noastră de zi cu zi de la Activ.NET, unde gestionăm infrastructuri IT pentru companii din Arad și din țară, vedem cât de repede se transformă o breșă teoretică într-un atac automatizat care lovește serverele locale.

#Ce s-a întâmplat

Cercetătorii în securitate cibernetică au confirmat că atacatorii au trecut de la faza de scanări și tatonări la execuția efectivă de comenzi de la distanță (RCE), exploatând vulnerabilitățile critice cunoscute ca PHP2Shell (urmărite sub codurile CVE-2026-109618 și CVE-2026-109619). Aceste breșe permit preluarea controlului fără autentificare prealabilă. Echipa PHP a lansat actualizările necesare pe 21 octombrie, după ce detalii tehnice s-au scurs pe internet.

Senzorii de tip honeypot gestionați de specialiști au înregistrat pe 24 octombrie un număr de 35 de shell-uri lansate pe trei servere-capcană. Atacatorii au folosit un lanț de patru cereri HTTP consecutive: unele au epuizat memoria alocată PHP, altele au extras date din memorie, iar ultima a executat comenzi de sistem. Deși testul a fost realizat pe o configurație specifică (Apache mod_php cu un singur worker), confirmarea că atacul funcționează în condiții reale este un semnal de alarmă serios pentru administratorii de sistem.

#Impact pentru firme

Pentru o companie mică sau mijlocie care își găzduiește propriile aplicații sau folosește servere dedicate, un astfel de incident poate duce la compromiterea totală a datelor. Riscul major constă în faptul că există deja un cod demonstrativ de atac (PoC) disponibil public. Asta înseamnă că grupuri cibernetice mai puțin sofisticate pot lansa atacuri automate împotriva oricărui server care folosește versiuni vulnerabile de PHP și nu a fost actualizat.

Timpul pierdut cu recuperarea datelor, riscul scurgerii de informații confidențiale și blocarea activității generează pierderi financiare considerabile pentru o firmă din România. Mulți antreprenori cred în mod greșit că site-ul lor nu prezintă interes pentru hackeri, dar rețelele de boți scanează neîncetat întreg internetul în căutare de ținte ușoare.

#Recomandări concrete

Pentru a preveni astfel de incidente, recomandăm administratorilor IT și companiilor câteva măsuri imediate:

1. Actualizați urgent pachetul PHP la cele mai recente versiuni securizate oferite de distribuția de Linux folosită sau de echipa care vă administrează serverele.
2. Configurați reguli stricte în firewall și sisteme de detecție a intruziunilor (IDS/IPS) pentru a bloca cererile HTTP suspecte care încearcă forțarea memoriei PHP.
3. Verificați periodic configurațiile serverului web (Apache sau Nginx) și asigurați-vă că nu rulați setări implicite care facilitează ocolirea protecțiilor de securitate (precum ASLR).

#Concluziile noastre

Evoluția rapidă de la simple tatonări la shell-uri funcționale în cazul PHP2Shell arată cât de puțin timp au la dispoziție echipele IT pentru a instala patch-urile de securitate. La Activ.NET, monitorizăm atent infrastructura clienților noștri din Arad și aplicăm actualizările critice fără întârziere, înainte ca serverele să fie expuse.

Inspirat din: SecurityWeek