Thorchain hack

  • Керівник Cloudflare Меттью Принс повідомив про сплеск спроб експлуатації двох критичних вразливостей PHP — до мільйонів атак.

  • За даними W3Techs, PHP використовується приблизно на 69% сайтів із відомою серверною мовою.

  • ФБР закликає негайно встановити патчі або тимчасово вивести уразливі системи з мережі.

Критична вразливість у PHP призвела до масованих спроб злому, що торкаються великої частки вебу. Cloudflare повідомляє про різке зростання кількості експлойтів після публікації деталей двох проблем.

Що відбулося

У повідомленні в соцмережі X очільник Cloudflare Меттью Принс написав, що мережа компанії зафіксувала тисячі спроб експлуатації упродовж 10 годин до публічного розголошення вразливостей.

“That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.”

Двоє вразливостей отримали позначення PHP2Shell і відстежуються як CVE-2026-109618 та CVE-2026-109619. Обидві мають рейтинг серйозності CVSS 9.2 з 10 і дозволяють виконувати довільний код на вразливих серверах без аутентифікації.

Проблеми виявилися частково з допомогою інструментів AI-досліджень; вони впливають на реалізації PHP, що використовуються на великій частині вебсайтів — близько 69% за оцінкою W3Techs.

Реакція спецслужб і рекомендації

Кіберпідрозділ ФБР попередив, що вразливості дозволяють віддалене виконання коду, що може призвести до витоку даних і компрометації мереж. Агентство закликало організації якомога швидше застосувати офіційні оновлення або тимчасово відключити уразливі сервіси.

Аналогічні попередження оприлюднили урядові структури США, Великої Британії та Японії. Прем’єр-міністр Японії Санае Такаічі також звернулася до операторів сайтів перевірити свої PHP-системи.

Ця реакція ілюструє, як швидко проблема в поширеному програмному забезпеченні перетворюється на масову загрозу, коли з’являються робочі експлойти.

Контекст: інші інциденти останніх 48 годин

Попередження щодо PHP з’явилося на фоні кількох інших інцидентів безпеки. GitLab розкрив вразливість з максимальною оцінкою 10/10, а проєкт LiteLLM нібито містив код для крадіжки паролів.

Звітно також, що хакери використовували AI-інструменти для атак на понад 1 200 сайтів і більше ніж 100 компаній, серед яких називали John Deere та Cummins.

Крім того, повідомляли про проблеми в індійській компанії eMudhra: було виявлено вісім проміжних сертифікатних ключів зі слабкими значеннями, один із яких нібито встановлено на число чотири — це підвищує занепокоєння щодо дійсності понад 60 млн сертифікатів.

Нарешті, State Bank of India підтвердив, що 3 897 записів клієнтів з’явилися у даркнеті.

Що робити прямо зараз

Перелік рекомендованих дій для адміністраторів, розробників і користувачів інфраструктури:

  • Невідкладно перевірити версію PHP на серверах і застосувати офіційні патчі для CVE-2026-109618 і CVE-2026-109619.

  • Якщо оновлення тимчасово неможливе — вивести уразливі системи з мережі або застосувати обхідні заходи (наприклад, блокування доступу до вразливих ендпоінтів на рівні мережі чи WAF).

  • Перевірити зовнішні інтеграції: торгові боти, AI-агенти, плагіни та сторонні платформи, які можуть підключатися до ваших сайтів або серверів.

  • Шукати ознаки компрометації: незаплановані процеси, зміни в конфігурації, підозрілі підключення від незнайомих IP, незвичні логи.

  • Зробити резервні копії критичних даних і підготувати план реагування на інциденти на випадок вторгнення.

Cloudflare повідомляє, що вже розгорнув правила захисту для клієнтів свого WAF, але наголошує: ці правила не замінюють встановлення офіційного патчу.

Висновок

Поширеність PHP робить ці вразливості потенційно небезпечними для великої кількості сайтів і сервісів. Швидке застосування патчів і оцінка впливу на сторонні компоненти — найефективніший спосіб мінімізувати ризики.

Автор: Андрій Степанюк, KRYPTA