Сегодня в ТОП-5 — PHP2Shell: RCE‑уязвимости в PHP, критическая уязвимость в GitLab допускает неаутентифицированный RCE, атакующие захватили более 300 Tor exit‑нод для перехвата SSH‑подключений, активная эксплуатация уязвимости PAN‑OS, цепочка WP2Shell позволяет захватить WordPress без пароля.
1. PHP2Shell: RCE‑уязвимости в PHP
В PHP обнаружены две уязвимости — CVE-2026-109618 (CVSS: 9.8) и CVE-2026-109619 (CVSS: 8.1), которые позволяют удалённо и без аутентификации выполнить код на сервере. Ошибки возникают из‑за некорректных данных в памяти после прерванного запроса. Первые попытки эксплуатации уязвимостей зафиксированы до публикации патчей. При этом одна из подтверждённых цепочек атаки использует механизм session.upload_progress, включённый по умолчанию. Уязвимы версии ниже 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Под угрозой PHP‑FPM, Apache с mod_php, php‑cgi, FrankenPHP и LiteSpeed. Рекомендуется обновить PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35, а также проверить логи с 20 октября на признаки выполнения веб‑сервером командных оболочек, curl и wget.
2. Критическая уязвимость в GitLab допускает неаутентифицированный RCE
GitLab выпустила исправления для уязвимости CVE-2026-110264, которая позволяет неаутентифицированному атакующему выполнить произвольный код на сервере. Проблема вызвана целочисленным переполнением при компиляции специально сформированного регулярного выражения во встроенном движке Ruby Onigmo и затрагивает все версии, начиная с 7.0, выпущенной в 2014 году. Исправления выпущены сразу для семи веток: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. Признаков эксплуатации не зафиксировано. GitLab опубликовала две сигнатуры для обнаружения попыток эксплуатации — «Onigmo native worker crash» и «Org mode render error burst».
3. Атакующие захватили более 300 Tor exit‑нод для перехвата SSH‑подключений
В начале октября атакующие взяли под контроль более 300 Tor exit‑нод и перенаправляли SSH‑подключения на 12 серверов перехвата, собиравших логины и пароли. Злоумышленники изменяли exit policy в torrc, открывая порт 22, а также закрывали шифрованные почтовые порты IMAPS и POP3S, открывая вместо них открытые POP3 и IMAP. Перехват затрагивал только парольные SSH‑логины через Tor со 2 по 5 октября при условии принятия host key сервера перехвата, ключевая аутентификация таким способом не компрометируется. На пике 4 октября такие ноды составляли 7,46% exit‑ёмкости Tor. Tor Project начал помечать ноды 4 октября, к 5 октября в консенсусе их не осталось. Рекомендуется сменить пароли, вводившиеся при SSH‑подключении через Tor в указанный период.
4. Активная эксплуатация уязвимости PAN‑OS
Специалисты Unit 42 выявили новую волну атак с использованием уязвимости CVE-2026-0257 (CVSS: 9.1) в PAN‑OS GlobalProtect. Среди атакующих были замечены группировки Spikey Scorpius (Qilin), Tarnished Scorpius (Inc), а также операторы Settra ransomware. Атакующие получают начальный доступ в сеть, обходят MFA и устанавливают VPN‑сессию, затем проводят разведку через RMM‑инструменты, перемещаются по RDP и SMB и готовят эксфильтрацию данных и развёртывание шифровальщика. Отмечен переход на vCenter, отключение защиты на ESXi и офлайн‑дамп учётных данных с VMDK контроллера домена. Рекомендуется использовать отдельный сертификат для Authentication Override cookies либо отключить Authentication Override.
5. Цепочка WP2Shell позволяет захватить WordPress без пароля
Исследователи Seqrite описали цепочку из двух уязвимостей в ядре WordPress — CVE-2026-63030 и CVE-2026-60137, которая получила название WP2Shell. Первая уязвимость затрагивает batch‑контроллер REST API (/wp‑json/batch/v1): вложенные запросы вводят в заблуждение маршрутизацию и позволяют неаутентифицированному атакующему достичь обработчиков, недоступных без аутентификации. Вторая — SQL‑инъекция в эндпоинте posts: параметр author_exclude отображается на внутренний author__not_in в WP_Query, что позволяет менять запросы к базе данных. Далее атакующий создаёт привилегированную учётную запись без взлома хешей паролей. Полная цепочка затрагивает WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1, версия 6.8.0–6.8.5 уязвима только к SQL‑инъекции. Исправления выпущены в 6.8.6, 6.9.5 и 7.0.2, также включено принудительное автообновление.
