Тяжёлая неделя для защитников: PwnEscape, eMudhra, SafePay и патч PHP

Обновление, 21 октября, 16:30 по парижскому времени: PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 примерно в 15:35 по парижскому времени, немного раньше анонсированных 14:00 UTC, исправив обе критические уязвимости, плюс бэкпорты для исходного кода для 7.4, 8.0 и 8.1. Раздел о PHP ниже обновлён.

Если вы работаете в безопасности, системном администрировании или хостинге, семь дней, заканчивающиеся сегодня, были из тех, что люди в профессии описывают сухо, диапазоном дат, потому что прилагательные кажутся непрофессиональными. Критический побег из виртуальной машины в Linux в четверг. Удостоверяющий центр, чьи закрытые ключи, как выяснилось за выходные, мог восстановить любой человек с ноутбуком. Совместное правительственное предупреждение во вторник о шифровальщике, который сбрасывает резервные устройства к заводским настройкам, плюс облачный сбой, из-за которого перестали работать банковские карты, плюс уведомление проекта PHP о том, что на следующий день выйдут два критических исправления. Этот следующий день, сегодня. Исправления были анонсированы на 14:00 UTC и вышли немного раньше, примерно в 15:35 по парижскому времени.

Одна поправка важнее любого отдельного заголовка. Вы могли прочитать, что через побег из виртуальной машины, получивший прозвище PwnEscape, «были взломаны многие хостинг-провайдеры». По состоянию на 13:30 по парижскому времени 21 октября это опасение, а не подтверждённый факт. Ни одного случая эксплуатации в реальных атаках нигде не зарегистрировано. У страха есть рациональная основа, которую мы объясним, но его следует называть страхом. Остальная часть этого поста проходит по неделе по порядку, отделяет подтверждённое от прогнозируемого и заканчивается коротким списком того, что действительно стоит сделать обычному читателю или владельцу небольшого сайта.

Почему команды безопасности так измотаны?

Начнём с людей, потому что каждое событие этой недели легло на одни и те же столы. Исследование кадров кибербезопасности ISC2 за 2025 год, опубликованное в декабре 2025 года по итогам полевого этапа в июле и августе 2025 года с 16 029 респондентами, показало, что 48% специалистов по безопасности чувствуют себя измотанными, пытаясь отслеживать актуальные угрозы и технологии, 47% часто чувствуют себя перегруженными объёмом работы, а 32% ощущают переработку из-за нехватки персонала. Деньги мало что смягчают: 20% не получили повышения зарплаты за последний год, а недостаточная оплата была частым источником недовольства для 31%.

Более острый вывод касается руководства. Лишь 32% респондентов говорят, что их организация относится к кибербезопасности как к критически важной бизнес-функции, и 23% называют этот разрыв причиной недовольства. Работа в безопасности структурно невидима: тихий квартал из зала заседаний выглядит в точности как ненужная статья расходов, а человек, предотвративший десять инцидентов, стоит в бюджете рядом с человеком, закрывшим десять продаж. То же исследование ISC2 показало, что 36% организаций урезали бюджеты на безопасность в 2025 году, а 24% сообщили об увольнениях в безопасности, при этом 72% специалистов согласны, что сокращение персонала безопасности значительно повышает риск взлома.

Европейские данные не добрее. В исследовании ISACA State of Cybersecurity 2026 (полевой этап в мае 2026 года; 494 европейских респондента из 1 888 по миру) 72% заявили, что работа стала более стрессовой, чем пять лет назад, а главные причины, это сложная среда угроз (72%) и нереалистичные ожидания в сочетании с чрезмерной нагрузкой (57%). Более половины европейских организаций сообщили о нехватке персонала (56%) и недофинансировании (55%), а 21% компаний вообще не принимают никаких мер против выгорания. Держите эти цифры в голове, пока разворачивается неделя.

Что такое PwnEscape и правда ли через него взломали хостинг-провайдеров?

В четверг 15 октября проект ядра Linux опубликовал CVE-2026-99999, быстро получившую прозвище PwnEscape: уязвимость в обработке контрольных сумм IPv4 в ядре, оценённую CNA ядра на 9,3, критический уровень (Red Hat оценивает её как Important). Сценарий такой: вредоносная микро-VM передаёт специально сформированные метаданные контрольных сумм virtio-net на TAP-интерфейс хоста. Побег из гостевой системы на хост, это момент, когда арендованная виртуальная машина перестаёт быть жильцом и становится хозяином дома: код внутри виртуальной машины одного клиента получает влияние на физический сервер, на котором работают все остальные. Вот почему оценка 9,3 на хостах типа KVM заставила сотрудников хостингов потянуться за кофе.

Вот что действительно установлено. Уязвимость нашли исследователи pwn.ai в ходе конкурса Vercel Sandbox, сообщили о ней разработчикам ядра 4 сентября, и 14 октября она была исправлена в mainline, с патчами для семи стабильных веток. Утечка памяти хоста была продемонстрирована против продакшн-песочниц хоста конкурса, что подтверждает собственный отчёт Vercel о конкурсе; в том же посте говорится, что ни один отчёт не показал доступа кого-либо к данным клиентов в Vercel Sandbox. Падения хоста и получение root на хосте были показаны только на собственных машинах исследователей, и pwn.ai заявляет, что её работа не является утверждением о выполнении команд с правами root в продакшн-среде какого-либо вендора. Уязвимый шаблон кода восходит примерно к 2008 году, согласно анализу TuxCare.

А эксплуатация? Обогащённая CISA запись CVE говорит прямо: эксплуатация, отсутствует. Уязвимости нет в каталоге известных эксплуатируемых уязвимостей (KEV) CISA по состоянию на выгрузку от 20 октября. Ни одной подтверждённой атаки в реальной среде не зарегистрировано ни одним из отслеживающих тему изданий. Исследователи, которых цитируют CSO и heise, ожидают рабочих эксплойтов против более слабых конфигураций в течение нескольких недель, но это прогноз, а не наблюдение.

Так откуда тревога? Три причины, и все обоснованные. Во-первых, для этой уязвимости нет опубликованных индикаторов компрометации, нет вредоносных хэшей или инфраструктуры атакующих, которые можно искать; SOC Prime отмечает, что обнаружение зависит от телеметрии хоста, мониторинга виртуализации и анализа сбоев, а многие небольшие хостинги это попросту не собирают. Это затрудняет обнаружение. Но это не делает уязвимость бесследной: ни один найденный нами источник не утверждает, что эксплуатация не оставляет следов. Во-вторых, исправление требует установки патча и перезагрузки ядра хоста; обновление собственной виртуальной машины ничего не даёт, так что каждому затронутому провайдеру предстоит кампания перезагрузок по всему парку. В-третьих, неопределённость уже наносит коммерческий ущерб: японский хостинг-провайдер 16 октября заморозил новые регистрации на своём VPS, виртуальном и выделенном хостинге в качестве меры предосторожности, без каких-либо сообщений о взломе, а немецкий хостинг с выходных перезагружает свои серверы виртуализации. Для клиентов остаётся в силе совет heise: действовать не нужно, кроме как проверить, что ваша виртуальная машина поднялась после перезагрузки у хостинга.

Что случилось с сертификатами eMudhra?

Суббота принесла историю с сертификатами, и начало циркулировать слово «перехвачены». Реальность, задокументированная в баг-репорте Mozilla, иная и в чём-то более странная: у восьми промежуточных сертификатов удостоверяющего центра eMudhra, индийского CA, закрытые ключи P-384 оказались настолько слабыми, что их можно было тривиально восстановить. Сотрудники самой Mozilla восстановили ключи в течение нескольких часов после сообщения от 17 октября. eMudhra объясняет слабость дефектным скриптом генерации ключей, использованным в церемонии ключей в апреле 2025 года, ссылаясь на человеческие ошибки на нескольких этапах.

Дальше экосистема доверия сработала быстро. По данным BleepingComputer, Firefox выкатил блокировку через OneCRL 17 октября, а 20 октября вышли обновления Firefox 158.0.1 и ESR для пользователей, чьи конфигурации заблокировали более раннее обновление; Chrome также заблокировал шесть промежуточных сертификатов с поддержкой TLS 17 октября, Apple последовала 19 октября; eMudhra отозвала все восемь сертификатов 18 октября. Затем Mozilla объявила об экстренном отзыве доверия к родительскому корню emSign ECC Root CA - G3, и Chrome взял на себя обязательство пойти похожим путём; по оценке eMudhra из её собственного комментария в баг-репорте Mozilla, мигрировать придётся около 30 000 сертификатов.

Две честные оговорки действуют в противоположных направлениях. Успокаивающая: доказательств того, что слабые ключи когда-либо использовались во вред, нет, а eMudhra заявляет, что из затронутой серии не было выпущено ни одного конечного сертификата. Менее успокаивающая: один из закрытых ключей был опубликован исследователем на GitHub, а программы, которые носят собственное хранилище доверенных сертификатов или пропускают проверку отзыва (трекер инцидента Mozilla, по сообщению BleepingComputer, приводит в пример встроенный в macOS curl), могут продолжать доверять сертификатам, пока их не обновят. Для читателя весь список действий умещается в одну строку: обновите браузер и операционную систему. Проблемы с сертификатами, это ровно та категория, где VPN ничего не меняет, хотя стоит помнить, что поддельные или ошибочно доверенные сертификаты важнее всего для атакующего, который уже может перехватывать ваш трафик, и это одна из причин, по которой шифрование соединения в публичном Wi-Fi (на английском) остаётся разумной гигиеной.

Почему сегодняшний релиз PHP был так важен?

Во вторник днём проект PHP разместил необычное уведомление на php.net: релиз безопасности, назначенный на среду 21 октября в 14:00 UTC, устраняющий две критические уязвимости, при этом полные детали будут опубликованы вместе с релизом. Предварительное анонсирование критического исправления, это осознанный компромисс: защитники получают день, чтобы запланировать окна обслуживания, ценой того, что атакующим сообщают о приближении чего-то ценного. Релиз затем вышел немного раньше: рекомендации на GitHub датированы 13:34 UTC, 15:34 по Парижу, а анонс PHP под заголовком «Критические уязвимости удалённого выполнения кода, обновитесь сейчас» называет исправленными релизами PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они исправляют CVE-2026-109618 и CVE-2026-109619, «две критические уязвимости, которые могут позволить неаутентифицированное удалённое выполнение кода», обе с оценкой CVSS v4.0 9,2.

Обе уязвимости просто изложить. CVE-2026-109618, «RCE через повреждение при OOM»: обработка нехватки памяти может прервать PHP в момент, когда внутренние данные запроса инициализированы лишь частично, и очистка запроса затем может принять невалидные данные за валидные. CVE-2026-109619, «RCE через устаревшее глобальное состояние»: внутреннее состояние, принадлежащее запросу, может пережить освобождение своей памяти, и более поздний запрос, обрабатываемый тем же воркером, может его использовать, это use after free. Кто под риском, по словам PHP: «все установки PHP, обслуживающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed». Риск наиболее высок для mod_php, «с продемонстрированным эксплойтом, где неаутентифицированный запрос может запустить атаку до выполнения какого-либо кода приложения». Продемонстрированный эксплойт, это не то же самое, что эксплуатация в реальных атаках; в рекомендации PHP о реальных атаках не сообщается.

Эмбарго всё равно дало течь. Разборы фирм по безопасности, включая материал SecureLayer7, отслеживали уязвимости как CVE-2026-109618 и CVE-2026-109619 и сообщали, что до релиза всплыл proof of concept под названием «PHP2Shell»; проект PHP его не верифицировал, хотя SecureLayer7 сообщает, что как минимум одна фирма по безопасности заявляет о воспроизведении одной из уязвимостей. Рекомендации PHP от 21 октября сообщают об отсутствии эксплуатации в реальных атаках.

Дальше все, кто на старой ветке. «PHP 8.1 и более ранние версии больше не получают обновлений от проекта PHP», отмечается в анонсе, хотя некоторые дистрибутивы и LTS-вендоры предоставляют бэкпортированные исправления. «Учитывая серьёзность», команда безопасности PHP также опубликовала минимальные бэкпорты для исходного кода для PHP 7.4, 8.0 и 8.1, рассчитанные на тех, кто собирает из исходников или не имеет LTS-вендора; это патчи для применения, а не готовые релизы. Проект не опубликовал бэкпортов для PHP 7.3 и более ранних, включая PHP 5. Дистрибутивы Linux и LTS-вендоры получили патчи заранее, а сам PHP 8.2 достигает конца жизненного цикла 31 декабря 2026 года. Рекомендация PHP перечисляет временные меры для тех, кто не может обновиться немедленно, такие как установка memory_limit в -1, снижение post_max_size или отключение session upload progress, но говорит, что они «снижают подверженность отдельным путям атаки, но не делают установку безопасной»; согласно примечаниям к релизу, «обновление, это единственный безопасный выбор».

Суть в масштабе. По данным W3Techs, PHP работает на 69,3% сайтов с известным серверным языком, и из этих PHP-сайтов 27,0% всё ещё работают на версии 7, а 7,7% на версии 5, ветках, достигших конца жизненного цикла годы назад. В сайты на версии 7 входит и PHP 7.4, у которого теперь хотя бы есть бэкпорт на уровне исходного кода; сайты на PHP 5 и на версиях с 7.0 по 7.3 не получают от проекта бэкпорта. Бюллетень CERT-EU 2026-018 предупреждал, что уязвимости могут затрагивать все версии PHP начиная с PHP 5; это предупреждение остаётся его позицией, тогда как рекомендации на GitHub перечисляют как затронутые только поддерживаемые ветки, ниже 8.2.35, 8.3.36, 8.4.27 и 8.5.12, и не перечисляют версии, достигшие конца жизненного цикла. Для сисадминов из первого раздела это работа на сегодняшний вечер и миграционный проект на следующий квартал, объявленные в тот же вторник, что и всё остальное.

Что ещё легло на столы защитников на этой неделе?

Понедельник и вторник продолжали добавлять. Совместный бюллетень CISA и ФБР AA26-293A (20 октября) подробно описывает SafePay, операцию с шифровальщиком, которая атаковала не менее 600 организаций с августа 2024 года. Чтобы лишить жертв возможности восстановления, говорится в бюллетене, SafePay останавливает службу Volume Shadow Copy Service и сбрасывает сетевые резервные хранилища к заводским настройкам, в некоторых случаях удаляя все доступные по сети резервные копии. Ключевой совет бюллетеня, это старая мудрость с новой срочностью: резервные копии должны быть офлайн, неизменяемыми и реально протестированными, потому что именно доступные по сети копии эта группа и уничтожает.

У каталога известных эксплуатируемых уязвимостей (KEV) CISA тоже выдалась тяжёлая неделя: 20 октября были добавлены четыре уязвимости Plex Media Server, которые можно объединять в цепочку, и это важно, потому что Plex, редкая запись KEV, живущая в гостиных, а не в дата-центрах. Ранее на неделе добавились BeyondTrust Remote Support и Fortinet (16 октября), Atlassian Data Center (15 октября), а также Palo Alto PAN-OS, Cisco Secure Email Gateway и Ahsay (14 октября). По каждой записи есть свидетельства эксплуатации в реальных атаках.

Ещё два пункта задали неделе рамку. Эксклюзив Reuters от 19 октября описал хакера-одиночку, который с помощью автономных ИИ-агентов пытался проникнуть более чем на 1 200 сайтов и взломал сайты более 100 компаний при стоимости около 50 долларов за вторжение, по словам исследователя из NorForge; Reuters не смогло установить, какие данные были похищены. Каким бы ни оказался итоговый подсчёт, главное здесь экономика: если взлом стоит около 50 долларов, урезания бюджетов из данных ISC2 выглядят ещё менее оправданными. А во вторник сбой Google Cloud в лондонском регионе совпал с отклонением карт Revolut по всей Европе; сам Revolut подтвердил причину вечером 20 октября, объявив в 19:39 по парижскому времени, что проблема устранена и сервисы восстановлены, и назвав причиной сбой Google Cloud; Google объясняет свой сбой энергетическим инцидентом в одной зоне лондонского региона, и ничто не связывает его с PwnEscape. Мы разобрали это отдельно в нашем материале о сбое Revolut.

Как вся неделя выглядит в одной таблице?

Что вам реально стоит сделать на этой неделе?

Для большинства читателей честный ответ короток. Обновите браузер и операционную систему, что тихо закрывает историю с сертификатами. Если дома у вас работает Plex Media Server, обновите его сегодня; эти уязвимости эксплуатируются, а не просто теоретизируются. И ждите фишинга, одолженного у заголовков этой недели, в духе «ваш аккаунт пострадал в утечке PHP»; здесь помогает DNS-фильтр, блокирующий известные фишинговые домены до их загрузки, такой как Threat Protection от Le VPN, а если письмо утверждает, что ваша почта попала в утечку, проверьте её по известным утечкам сами, вместо того чтобы кликать по ссылке. Остальные основы разобраны в нашем хабе по онлайн-безопасности.

Если у вас есть сайт: сегодня же вечером выясните, на какой ветке PHP он работает. На версиях с 8.2 по 8.5 обновление уже вышло: установите 8.2.35, 8.3.36, 8.4.27 или 8.5.12 сейчас либо спросите у хостинга, установлено ли оно, поскольку дистрибутивы Linux и LTS-вендоры получили патчи заранее. На 7.4, 8.0 или 8.1 варианты, это минимальные бэкпорты для исходного кода от команды безопасности PHP или бэкпортированное исправление от вендора. На 7.3 или более ранних, включая PHP 5, отнеситесь к этому как к поводу для апгрейда, который вы откладывали, а тем временем рассмотрите предложение CERT-EU изолировать всё доступное из интернета, что нельзя пропатчить. Если ваш сайт живёт на VPS, уместно задать провайдеру два вопроса: пропатчены ли ядра хостов от CVE-2026-99999 и когда окно перезагрузки. И проверьте, что ваши резервные копии существуют там, куда шифровальщик не дотянется: SafePay сбрасывает или удаляет доступные по сети резервные копии именно потому, что жертвы на них рассчитывают.

Если вы руководите людьми, которые делают эту работу, цифры опросов в начале этого поста, это не кадровый курьёз, а индикатор риска. Отчёт Proofpoint Voice of the CISO 2026 показал, что 77% директоров по информационной безопасности говорят о чрезмерных ожиданиях в их адрес, а исследование вовлечённости советов директоров IANS/Artico показало, что лишь 29% членов советов оценивают получаемые киберотчёты как очень эффективные. Команда, которая провела эту неделю, патча хосты, меняя сертификаты и читая утечки из-под эмбарго в полночь, сделает это снова в следующем месяце. Сделает ли она это хорошо или параллельно обновляя резюме, отчасти вопрос строки в бюджете.

Ещё один честный абзац. VPN не предотвратил бы ни одного события из этого списка. Он не патчит серверы, не исправляет баги ядра или PHP на сайтах, которые вы посещаете, не останавливает облачные сбои и не заменяет обновления браузера, которые заблокировали плохие сертификаты. То, что он делает, уже и по-прежнему полезно: он шифрует трафик между вашим устройством и сервером VPN, так что человек в том же Wi-Fi кафе не сможет перехватить то, что вы отправляете. Точно знать, что делает инструмент, и говорить об этом прямо показалось правильным способом закончить неделю, которая держалась на страхе перед неподтверждённым.

Исправления вышли сегодня днём по парижскому времени. Где-то усталый администратор уже открыл терминал и забронировал окно обслуживания, и к четвергу никто за пределами команды не вспомнит, что это вообще было. Так выглядит безопасность, когда она работает: внешне, совсем никак.