PHP2Shell, уязвимость GitLab и атака на Tor-ноды: главное за неделю

В свежем обзоре — пять заметных событий в сфере информационной безопасности. Среди них две критические уязвимости удалённого выполнения кода в PHP, неаутентифицированный RCE в GitLab, компрометация Tor exit-нод, атаки на устройства с PAN-OS и цепочка WP2Shell, позволяющая получить контроль над WordPress без пароля.

PHP2Shell: критические RCE в PHP

В PHP обнаружили две уязвимости — CVE-2026-109618 с оценкой CVSS 9.8 и CVE-2026-109619 с оценкой 8.1. Они позволяют удалённому неаутентифицированному атакующему выполнить произвольный код на сервере. Ошибки связаны с некорректным состоянием памяти после прерванного запроса.

Первые попытки эксплуатации зафиксировали ещё до публикации исправлений. Одна из подтверждённых цепочек использует механизм session.upload_progress, который включён в PHP по умолчанию. Уязвимыми считаются версии ниже 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Риск затрагивает PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.

Администраторам рекомендуется обновить PHP до версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Дополнительно стоит проверить журналы начиная с 20 октября: особое внимание следует обратить на случаи, когда веб-сервер запускал командные оболочки, curl или wget.

GitLab исправил уязвимость с неаутентифицированным RCE

GitLab выпустила исправления для CVE-2026-110264. Уязвимость позволяет выполнить произвольный код на сервере без предварительной аутентификации. Проблема вызвана целочисленным переполнением при компиляции специально сформированного регулярного выражения во встроенном движке Ruby Onigmo.

Ошибка затрагивает все версии GitLab начиная с ветки 7.0, выпущенной в 2014 году. Исправления опубликованы для семи веток: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. Признаков эксплуатации пока не обнаружено. Для выявления возможных атак GitLab предоставила две сигнатуры: Onigmo native worker crash и Org mode render error burst.

Захват Tor exit-нод

В начале октября злоумышленники получили контроль более чем над 300 Tor exit-нодами и перенаправляли SSH-подключения на 12 серверов перехвата. Эти серверы собирали введённые пользователями логины и пароли.

Для атаки изменялась политика выхода в конфигурации torrc: порт 22 открывался, а защищённые почтовые порты IMAPS и POP3S закрывались в пользу незашифрованных IMAP и POP3. Перехват касался только парольных SSH-логинов через Tor в период со 2 по 5 октября и требовал, чтобы пользователь принял host key сервера перехвата. Ключевая аутентификация таким способом не компрометировалась.

На пике 4 октября скомпрометированные ноды составляли 7,46% exit-ёмкости Tor. Tor Project начал помечать их 4 октября, а к 5 октября таких узлов уже не осталось в консенсусе сети. Пользователям, вводившим пароли при SSH-подключениях через Tor в указанный период, рекомендуется сменить эти пароли.

Атаки на PAN-OS

Исследователи Unit 42 сообщили о новой волне атак с эксплуатацией CVE-2026-0257 с оценкой CVSS 9.1 в PAN-OS GlobalProtect. Среди замеченных участников названы группировки Spikey Scorpius, связанная с Qilin, Tarnished Scorpius, связанная с Inc, а также операторы вымогательской группировки Settra.

Злоумышленники получают первоначальный доступ к сети, обходят многофакторную аутентификацию и устанавливают VPN-сессию. Затем они проводят разведку с помощью RMM-инструментов, перемещаются по RDP и SMB, подготавливают кражу данных и развёртывание шифровальщика. В ходе атак также фиксировались переход к vCenter, отключение защитных механизмов на ESXi и офлайн-извлечение учётных данных из VMDK-файла контроллера домена.

В качестве меры защиты рекомендуется использовать отдельный сертификат для Authentication Override cookies либо полностью отключить Authentication Override.

WP2Shell позволяет захватить WordPress без пароля

Исследователи Seqrite описали цепочку из двух уязвимостей ядра WordPress — CVE-2026-63030 и CVE-2026-60137. Атака получила название WP2Shell и позволяет неаутентифицированному злоумышленнику добиться создания привилегированной учётной записи без взлома хешей паролей.

Первая проблема связана с batch-контроллером REST API /wp-json/batch/v1. Вложенные запросы позволяют ввести маршрутизацию в заблуждение и обратиться к обработчикам, которые обычно требуют аутентификации. Вторая уязвимость представляет собой SQL-инъекцию в эндпоинте posts: параметр author_exclude передаётся во внутренний параметр author__not_in объекта WP_Query, что даёт возможность изменять запросы к базе данных.

Полная цепочка затрагивает WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1. Версии 6.8.0–6.8.5 уязвимы только к SQL-инъекции. Исправления выпущены в версиях 6.8.6, 6.9.5 и 7.0.2; вместе с ними включено принудительное автоматическое обновление.