Атакующие PHP2Shell пытаются создать DDoS-ботнет Potassium, но пока безрезультатно
- Атакующие пытаются использовать PHP2Shell для установки ботнета DDoS Potassium, происходящего от Mirai.
- Исследователи наблюдали широкомасштабные попытки эксплуатации, но на 23 октября не было подтвержденных случаев массовых компрометаций.
- Существуют рабочие эксплуатационные уязвимости, что усиливает давление на администраторов с необходимостью патчить уязвимые установки PHP.
«жизнеспособная и очень серьезная»
— Джон Хультквист, Google, цитируется The Record.
Почему ботнет DDoS вызывает беспокойство у хостинг-провайдеров и криптооператоров
Общая угроза уже значительна. Cloudflare зафиксировал 935 DDoS-атак мощностью более 1 терабита в секунду в первой половине 2026 года.
Эти атаки не были приписаны Potassium. Тем не менее, они демонстрируют сбои, с которыми сталкиваются хостинг-провайдеры, платежные процессоры и криптоплатформы. Финансовые потери, связанные с PHP2Shell, не зафиксированы.
Новое предупреждение по PHP и на что обратить внимание
23 октября PHP сообщил об ещё одной уязвимости — CVE-2026-115560, связанной с нестандартной конфигурацией приложения. До выхода регулярного исправления рекомендуется установить session.upload_progress.enabled=0, что также является мерой защиты от CVE-2026-109619.
Администраторам следует установить PHP версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35, перезапустить воркеры и контролировать подозрительные загрузки.
CISO Cobalt Эндрю Обадиару предупредил, что этот тихий период является:
«заимствованным временем»
— Эндрю Обадиару, Cobalt, цитируется The Record.
«мусором и неработоспособным»
— Спенсер Макнайр, VulnCheck, цитируется The Record.
Эта защита не является абсолютной. VulnCheck разработал приватный эксплойт, позволяющий обойти ASLR в PHP 8.4.26 с производственной конфигурацией, а затем расширил поддержку на отдельные сборки версий 8.4 и 8.5.
Джон Хультквист из Google назвал угрозу:
«жизнеспособная и очень серьезная»
— Джон Хультквист, Google, цитируется The Record.
Почему ботнет DDoS вызывает беспокойство у хостинг-провайдеров и криптооператоров
Общая угроза уже значительна. Cloudflare зафиксировал 935 DDoS-атак мощностью более 1 терабита в секунду в первой половине 2026 года.
Эти атаки не были приписаны Potassium. Тем не менее, они демонстрируют сбои, с которыми сталкиваются хостинг-провайдеры, платежные процессоры и криптоплатформы. Финансовые потери, связанные с PHP2Shell, не зафиксированы.
Новое предупреждение по PHP и на что обратить внимание
23 октября PHP сообщил об ещё одной уязвимости — CVE-2026-115560, связанной с нестандартной конфигурацией приложения. До выхода регулярного исправления рекомендуется установить session.upload_progress.enabled=0, что также является мерой защиты от CVE-2026-109619.
Администраторам следует установить PHP версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35, перезапустить воркеры и контролировать подозрительные загрузки.
CISO Cobalt Эндрю Обадиару предупредил, что этот тихий период является:
«заимствованным временем»
— Эндрю Обадиару, Cobalt, цитируется The Record.
Атакующие пытаются превратить уязвимые PHP-серверы в ботов Potassium, входящих в сеть на базе Mirai, предназначенную для распределённых атак типа «отказ в обслуживании» (DDoS). Однако пока им это не удаётся. The Hacker News сообщила 23 октября, что подтверждённых случаев взлома серверов не зафиксировано.
Существовало две крупные уязвимости PHP, которые были основными целями кибератак: CVE-2026-109618 и CVE-2026-109619, обе получили оценку 9,2 из 10 по шкале серьёзности. PHP выпустил исправления 21 октября, но к этому времени хакеры уже начали атаковать эти уязвимости.
Что видела Sophos, а затем отказалась от своих слов
Arctic Wolf сообщает, что попытки выполнения команд и загрузки вредоносного ПО были приписаны группе Potassium. Другая оценка, выполненная в песочнице, выявила другой образец, который связался с thunder.godofthunder[.]st через IP 134.199.154[.]64 на TCP-порту 50792 и атаковал два украинских хоста.
Это продемонстрировало потенциал вредоносного ПО, но не подтвердило факт взлома производственных серверов. 22 октября Sophos отозвала предыдущее заявление об успехе, заявив The Record, что наблюдались лишь неудачные попытки атак.
Миллионы сканирований — ноль подтверждённых проникновений
Однако эти цифры свидетельствуют о масштабе разведки со стороны злоумышленников. Imperva зафиксировала 482 342 попытки запросов в рамках 122 311 сессий, направленных на 21 998 сайтов в 103 странах в течение 24 часов.
В то же время Censys сообщил о выявлении более 41 миллиона интернет-сервисов PHP, работающих на уязвимых версиях, и лишь около 1 миллиона экземпляров развертывания исправленных версий программного обеспечения по состоянию на 22 октября. Эти данные, отражающие инциденты сканирования или количество подвергшихся риску пользователей, недостаточны для доказательства факта реального компрометирования.
24-флуд команды и спящий переключатель ENS
Arctic Wolf раскрыла, что 24 команды для затопления включают все типы ICMP, TCP, UDP и OpenVPN. Также в обеих версиях Potassium (ARM и x86-64) присутствуют функции поиска через Ethereum Name Service (ENS), однако они отключены.
Ethereum и ENS не были скомпрометированы. Однако активация функций поиска по ENS может усложнить блокировку командных серверов при использовании обычных средств контроля DNS и IP.
Бесполезные PoC против рабочего приватного эксплойта
Многие публичные proof-of-concept (PoC) эксплойты не работают против производственных защит, особенно против рандомизации расположения адресного пространства (ASLR). Спенсер МакАйр из VulnCheck охарактеризовал многие распространяемые образцы как:
«мусором и неработоспособным»
— Спенсер Макнайр, VulnCheck, цитируется The Record.
Эта защита не является абсолютной. VulnCheck разработал приватный эксплойт, позволяющий обойти ASLR в PHP 8.4.26 с производственной конфигурацией, а затем расширил поддержку на отдельные сборки версий 8.4 и 8.5.
Джон Хультквист из Google назвал угрозу:
«жизнеспособная и очень серьезная»
— Джон Хультквист, Google, цитируется The Record.
Почему ботнет DDoS вызывает беспокойство у хостинг-провайдеров и криптооператоров
Общая угроза уже значительна. Cloudflare зафиксировал 935 DDoS-атак мощностью более 1 терабита в секунду в первой половине 2026 года.
Эти атаки не были приписаны Potassium. Тем не менее, они демонстрируют сбои, с которыми сталкиваются хостинг-провайдеры, платежные процессоры и криптоплатформы. Финансовые потери, связанные с PHP2Shell, не зафиксированы.
Новое предупреждение по PHP и на что обратить внимание
23 октября PHP сообщил об ещё одной уязвимости — CVE-2026-115560, связанной с нестандартной конфигурацией приложения. До выхода регулярного исправления рекомендуется установить session.upload_progress.enabled=0, что также является мерой защиты от CVE-2026-109619.
Администраторам следует установить PHP версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35, перезапустить воркеры и контролировать подозрительные загрузки.
CISO Cobalt Эндрю Обадиару предупредил, что этот тихий период является:
«заимствованным временем»
— Эндрю Обадиару, Cobalt, цитируется The Record.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Часто задаваемые вопросы
Что такое Potassium?
Potassium — вариант ботнета на базе Mirai, впервые обнаруженный компанией Synthient в марте 2026 года; по данным Sophos, он теперь содержит код загрузчика и модули нарушения работы сети, а также способен выполнять DDoS-атаки через протоколы ICMP, TCP, UDP и OpenVPN.
Были ли на самом деле скомпрометированы какие-либо серверы через PHP2Shell?
Нет. 22 октября Sophos отозвала предыдущее утверждение об успешной эксплуатации, а Google, VulnCheck и другие исследователи сообщают, что наблюдали попытки, но подтвержденных случаев удаленного выполнения кода не зафиксировано.
Какие версии PHP устраняют эти уязвимости?
PHP выпустила исправления 21 октября в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35; администраторам рекомендуется сначала обновить системы, доступные из интернета, и убедиться, что процессы веб-сервера работают на исправленной версии среды выполнения.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com не несет ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимые исследования и/или консультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Мика Абийоун
Мика Абьодун успешно применяет свои знания в области экологического инжиниринга и управления (MSc), полученные в Технологическом университете Таллинна (TalTech), для создания качественного контента и новостей о прогнозах цен в Cryptopolitan. Находясь в крипто-медиа сфере уже 7 лет, он освещает основные криптовалюты, альткоины, DeFi, стейблкоины, макроэкономические тренды и новые технологии.
