Сегодня в ТОП-5 —  PHP2Shell: RCE-уязвимости в PHP, критическая уязвимость в GitLab допускает неаутентифицированный RCE, атакующие захватили более 300 Tor exit-нод для перехвата SSH-подключений, активная эксплуатация уязвимости PAN-OS, цепочка WP2Shell даёт возможность захватить WordPress без пароля.

1. PHP2Shell: RCE-уязвимости в PHP

В PHP обнаружены две уязвимости — CVE-2026-109618 (CVSS: 9.8) и CVE-2026-109619 (CVSS: 8.1), которые позволяют удалённо и без аутентификации выполнить исходник на сервере. Ошибки возникают из-за некорректных данных в памяти после прерванного запроса. Первые попытки эксплуатации уязвимостей зафиксированы до публикации патчей. При этом одна из подтверждённых цепочек атаки использует механизм session.upload_progress, включённый по умолчанию. Уязвимы версии ниже 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Под угрозой PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Рекомендуется апдейтнуть PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35, а равным образом проверить логи с 20 октября на признаки выполнения веб-сервером командных оболочек, curl и wget.

2. Критическая уязвимость в GitLab допускает неаутентифицированный RCE

GitLab выпустила исправления для уязвимости CVE-2026-110264, которая позволяет неаутентифицированному атакующему выполнить произвольный код на сервере. Задача вызвана целочисленным переполнением при компиляции специально сформированного регулярного выражения во встроенном движке Ruby Onigmo и затрагивает все версии, начиная с 7.0, выпущенной в 2014 году. Исправления выпущены сразу для семи веток: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13. Признаков эксплуатации не зафиксировано. GitLab опубликовала две сигнатуры для обнаружения попыток эксплуатации — «Onigmo native worker crash» и «Org mode render error burst».

3. Атакующие захватили более 300 Tor exit-нод для перехвата SSH-подключений

В начале октября атакующие взяли под контроль более 300 Tor exit-нод и перенаправляли SSH-подключения на 12 серверов перехвата, собиравших логины и пароли. Злоумышленники изменяли exit policy в torrc, открывая порт 22, а также закрывали шифрованные почтовые порты IMAPS и POP3S, открывая вместо них открытые POP3 и IMAP. Перехват затрагивал только парольные SSH-логины через Tor со 2 по 5 октября при условии принятия host key сервера перехвата, ключевая аутентификация таким способом не компрометируется. На пике 4 октября такие ноды составляли 7,46 процентов exit-ёмкости Tor. Tor Project стартовал помечать ноды 4 октября, к 5 октября в консенсусе их не осталось. Рекомендуется сменить пароли, вводившиеся при SSH-подключении через Tor в указанный период.

4. Активная эксплуатация уязвимости PAN-OS

Специалисты Unit 42 выявили новую волну атак с использованием уязвимости CVE-2026-0257 (CVSS: 9.1) в PAN-OS GlobalProtect. Среди атакующих были замечены группировки Spikey Scorpius (Qilin), Tarnished Scorpius (Inc), а также операторы Settra ransomware. Атакующие получают начальный доступ в сеть, обходят MFA и устанавливают VPN-сессию, затем проводят разведку через RMM-инструменты, перемещаются по RDP и SMB и готовят эксфильтрацию данных и развёртывание шифровальщика. Отмечен переход на vCenter, отключение защиты на ESXi и офлайн-дамп учётных данных с VMDK контроллера домена. Рекомендуется использовать отдельный сертификат для Authentication Override cookies либо отключить Authentication Override.

5. Цепочка WP2Shell даёт возможность захватить WordPress без пароля

Исследователи Seqrite описали цепочку из двух уязвимостей в ядре WordPress — CVE-2026-63030 и CVE-2026-60137, которая получила название WP2Shell. Первая уязвимость затрагивает batch-контроллер REST api (/wp-json/batch/v1): вложенные запросы вводят в заблуждение маршрутизацию и позволяют неаутентифицированному атакующему достичь обработчиков, недоступных без аутентификации. Вторая — SQL-инъекция в эндпоинте posts: параметр author_exclude отображается на внутренний author__not_in в WP_Query, что даёт возможность менять запросы к базе данных. Далее атакующий создаёт привилегированную учётную запись без взлома хешей паролей. Полная цепочка затрагивает WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1, релиз 6.8.0–6.8.5 уязвима только к SQL-инъекции. Исправления выпущены в 6.8.6, 6.9.5 и 7.0.2, также включено принудительное автообновление.