CISA подтверждает активную эксплуатацию двух PHP2Shell Flaws, обеспечивающих дистанционное кодовое исполнение

США. В понедельник Агентство кибербезопасности и безопасности инфраструктуры (CISA) подтвердило, что оно активно использовало недавно зачтенные недостатки PHP2Shell, добавив их в свой каталог известных эксплуативных возможностей. Уязвимость PHP, обе из которых получили оценку 9.2 в системе оценки CVSS, облегчает неубедительное дистанционное исполнение кода при затронутом запуске - CVE-2026-109618 - Непонятная коррупция, которая позволяет осуществить неподтвержденное дистанционное кодовое исполнение. - CWE2026109619 - Застарелая внутренняя уязвимость запроса-государства, допускающая незапротоколированную реализацию дистанционного кода. "Это подтверждает, что RCE с полезной информацией о памяти, а не просто катастрофой, за которой следует подозрительный процесс", - сказал Карими. — В ответ на это было сделано 800 KiB декодированных печеньях, и функциональный адрес, полученный из этой свалки с использованием перестановок публичной эксплуатации, появляется в последующей рабочей нагрузке". У федеральных органов есть время до 29 октября 2026 года для принятия необходимых решений. PHP, короткий для PHF: Hypertext Preprocessor — язык скрипта на сервере, используемый примерно в 70% всех веб-сайтов Интернета. Согласно оценкам, представленным совместно " Censys > , более 32,51 млн. PHP-сервисов попрежнему имеют поврежденную версию. Серьезность уязвимости вызвала многочисленные рекомендации со стороны поставщиков программного обеспечения и безопасности, а также правительственных…