Важкий тиждень для захисників: PwnEscape, eMudhra, SafePay і патч PHP

Оновлення, 21 жовтня, 16:30 за паризьким часом: PHP випустив версії 8.5.12, 8.4.27, 8.3.36 та 8.2.35 близько 15:35 за паризьким часом, трохи раніше за анонсовані 14:00 UTC, виправивши обидві критичні вади, а також опублікував бекпорти для вихідного коду версій 7.4, 8.0 та 8.1. Розділ про PHP нижче оновлено.

Якщо ви працюєте у сфері безпеки, системного адміністрування чи хостингу, сім днів, що завершуються сьогодні, були з тих, які фахівці описують сухо, діапазоном дат, бо прикметники здаються непрофесійними. Критична втеча з віртуальної машини Linux у четвер. Центр сертифікації, чиї приватні ключі, як з’ясувалося на вихідних, може відновити будь-хто з ноутбуком. Спільне урядове попередження у вівторок про шифрувальник, який скидає резервні пристрої до заводських налаштувань, плюс збій хмари, через який перестали працювати банківські картки, плюс повідомлення проєкту PHP про те, що наступного дня вийдуть два критичні виправлення. Той наступний день настав сьогодні. Виправлення анонсували на 14:00 UTC, і вони вийшли трохи раніше, близько 15:35 за паризьким часом.

Одне уточнення важливіше за будь-який окремий заголовок. Ви могли читати, що через втечу з віртуальних машин, яка отримала назву PwnEscape, «зламали багатьох хостинг-провайдерів». Станом на 13:30 за паризьким часом 21 жовтня це побоювання, а не підтверджений факт. Про жодну експлуатацію в реальних атаках ніде не повідомлялося. Побоювання має раціональне підґрунтя, яке ми пояснимо, але його слід називати саме побоюванням. Далі в цій публікації ми проходимо тиждень по порядку, відокремлюємо підтверджене від прогнозованого і завершуємо коротким списком того, що звичайному читачеві чи власникові невеликого сайту справді варто зробити.

Чому команди безпеки такі виснажені?

Почнімо з людей, бо кожна подія цього тижня лягла на ті самі робочі столи. Дослідження робочої сили в кібербезпеці ISC2 за 2025 рік, опубліковане в грудні 2025 року за результатами польового етапу в липні та серпні 2025 року з 16 029 респондентами, виявило, що 48% фахівців з безпеки почуваються виснаженими, намагаючись стежити за загрозами й технологіями, 47% часто почуваються перевантаженими обсягом роботи, а 32% відчувають перепрацювання через нестачу персоналу. Гроші мало що пом'якшують: 20% не отримали підвищення зарплати за минулий рік, а недостатня оплата була частим джерелом невдоволення для 31%.

Гостріший висновок стосується керівництва. Лише 32% респондентів кажуть, що їхня організація ставиться до кібербезпеки як до критично важливої бізнес-функції, і 23% називають цей розрив причиною невдоволення. Робота в безпеці структурно невидима: тихий квартал із зали засідань виглядає точнісінько як зайва витрата, а людина, що запобігла десяти інцидентам, стоїть у бюджеті поруч із людиною, що закрила десять продажів. Те саме дослідження ISC2 виявило, що 36% організацій скоротили бюджети на безпеку у 2025 році, а 24% повідомили про звільнення в командах безпеки, тоді як 72% фахівців згодні, що скорочення персоналу безпеки суттєво підвищує ризик витоків.

Європейські дані не добріші. У дослідженні ISACA State of Cybersecurity 2026 (польовий етап у травні 2026 року; 494 європейські респонденти з 1 888 у світі) 72% сказали, що робота стала більш стресовою, ніж п'ять років тому, а головними причинами назвали складне середовище загроз (72%) і нереалістичні очікування в поєднанні з надмірним навантаженням (57%). Понад половина європейських організацій заявили про нестачу персоналу (56%) і недофінансування (55%), а 21% компаній узагалі нічого не роблять із вигоранням. Тримайте ці цифри в голові, поки розгортається тиждень.

Що таке PwnEscape, і чи справді через нього зламали хостинг-провайдерів?

У четвер, 15 жовтня, проєкт ядра Linux опублікував CVE-2026-99999, який швидко отримав назву PwnEscape: вада в обробці контрольних сум IPv4 у ядрі, оцінена CNA ядра на 9,3 (критична); Red Hat оцінює її як важливу. Сценарій: шкідлива мікро-ВМ передає сформовані метадані контрольних сум virtio-net TAP-інтерфейсу хоста. Втеча з гостьової системи на хост означає момент, коли орендована віртуальна машина перестає бути орендарем і стає власником будівлі: код усередині ВМ одного клієнта отримує вплив на фізичний сервер, де працюють усі інші. Ось чому оцінка 9,3 для хостів типу KVM змусила персонал хостингів потягнутися за кавою.

Ось що насправді встановлено. Ваду знайшли дослідники pwn.ai під час челенджу Vercel Sandbox, повідомили проєкту ядра 4 вересня, а 14 жовтня її виправили в основній гілці, з патчами для семи стабільних гілок. Витік пам'яті хоста було продемонстровано проти робочих пісочниць хоста челенджу, що підтверджує власний звіт Vercel про челендж; у тій самій публікації сказано, що жоден звіт не показав доступу будь-кого до даних клієнтів у Vercel Sandbox. Збої хоста і root на хості були показані лише на машинах самих дослідників, а pwn.ai заявляє, що її робота не є твердженням про виконання команд з правами root у робочому середовищі будь-якого постачальника. Вразливий шаблон коду походить приблизно з 2008 року, за аналізом TuxCare.

А експлуатація? Збагачення запису CVE від CISA каже це прямо: експлуатація відсутня. Станом на стрічку від 20 жовтня вада не входить до каталогу відомих експлуатованих вразливостей CISA. Про жодну підтверджену атаку в реальному світі не повідомило жодне з видань, що стежать за темою. Дослідники, яких цитують CSO та heise, очікують робочих експлойтів проти слабших конфігурацій протягом тижнів, але це прогноз, а не спостереження.

То звідки тривога? Три причини, всі обґрунтовані. По-перше, для цієї вади немає опублікованих індикаторів компрометації, жодних шкідливих хешів чи інфраструктури атакувальників, які можна було б шукати; SOC Prime зазначає, що виявлення залежить від телеметрії хоста, моніторингу віртуалізації та аналізу збоїв, яких багато менших хостингів просто не збирають. Це ускладнює виявлення. Але це не робить ваду безслідною: жодне знайдене нами джерело не стверджує, що експлуатація не залишає слідів. По-друге, виправлення вимагає оновлення і перезавантаження ядра хоста; оновлення власної ВМ нічого не дає, тож кожному ураженому провайдеру належить кампанія перезавантажень по всьому парку. По-третє, невизначеність уже завдає комерційної шкоди: японський хостинг-провайдер 16 жовтня заморозив нові реєстрації на своєму VPS, віртуальному та виділеному хостингу як запобіжний захід, без жодного повідомленого зламу, а німецький хостинг з вихідних перезавантажує свої сервери віртуалізації. Для клієнтів чинною лишається порада heise: вам нічого не треба робити, окрім як перевірити, що ваша ВМ піднялася після перезавантаження у вашого хостингу.

Що сталося з сертифікатами eMudhra?

Субота принесла сертифікатну історію, і почало ширитися слово «захоплені». Реальність, задокументована у звіті про помилку Mozilla, інша і подекуди дивніша: вісім проміжних сертифікатів ЦС, що належать eMudhra, індійському центру сертифікації, мали настільки слабкі приватні ключі P-384, що їх можна було тривіально відновити. Співробітники Mozilla самі відновили ключі за лічені години після повідомлення 17 жовтня. eMudhra пояснює слабкість помилковим скриптом генерації ключів, використаним під час церемонії ключів у квітні 2025 року, посилаючись на людські помилки на кількох етапах.

Далі екосистема довіри спрацювала на швидкості. За BleepingComputer, Firefox розіслав блокування через OneCRL 17 жовтня, а оновлення Firefox 158.0.1 та ESR вийшли 20 жовтня для користувачів, чиї налаштування заблокували попереднє оновлення; Chrome так само заблокував шість проміжних сертифікатів з підтримкою TLS 17 жовтня, Apple приєдналася 19 жовтня; eMudhra відкликала всі вісім сертифікатів 18 жовтня. Потім Mozilla оголосила про екстрене вилучення довіри до батьківського кореневого сертифіката emSign ECC Root CA - G3, а Chrome зобов'язався піти подібним шляхом; за власним коментарем eMudhra у звіті Mozilla, мігрувати доведеться близько 30 000 сертифікатів.

Два чесні застереження діють у протилежних напрямках. Заспокійливе: немає доказів, що слабкими ключами колись зловживали, і eMudhra стверджує, що з уражених серій не було видано жодних кінцевих сертифікатів. Менш заспокійливе: один із приватних ключів дослідник опублікував на GitHub, і програмне забезпечення з власним сховищем довіри або без перевірки відкликань (трекер інцидентів Mozilla, за повідомленням BleepingComputer, наводить як приклад вбудований curl у macOS) може довіряти цим сертифікатам, доки його не оновлять. Для читача весь план дій уміщується в один рядок: оновіть браузер і операційну систему. Проблеми з сертифікатами, це саме та категорія, де VPN нічого не змінює, хоча варто пам'ятати, що підроблені або помилково довірені сертифікати найважливіші для зловмисника, який уже може перехоплювати ваш трафік, і це одна з причин, чому шифрування з'єднання в публічному Wi-Fi (англійською) лишається розумною гігієною.

Чому сьогоднішній реліз PHP був такий важливий?

У вівторок по обіді проєкт PHP розмістив незвичне оголошення на php.net: безпековий реліз, запланований на середу, 21 жовтня, о 14:00 UTC, що усуває дві критичні вразливості, з повними деталями, які опублікують разом із релізом. Попереднє анонсування критичного виправлення, це свідомий компроміс: воно дає захисникам день на планування вікон обслуговування ціною того, що зловмисникам повідомляють про щось цінне на підході. Потім реліз вийшов трохи раніше: попередження на GitHub мають позначку часу 13:34 UTC, 15:34 у Парижі, а оголошення PHP під назвою «Критичні вразливості віддаленого виконання коду, оновіться негайно» називає виправленими релізами PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. Вони виправляють CVE-2026-109618 та CVE-2026-109619, «дві критичні вразливості, які можуть дозволити неавтентифіковане віддалене виконання коду», обидві з оцінкою CVSS v4.0 9,2.

Обидві вади просто сформулювати. CVE-2026-109618, «RCE через пошкодження при OOM»: обробка нестачі пам'яті може перервати PHP у момент, коли внутрішні дані запиту ініціалізовано лише частково, і очищення запиту може потім сприйняти невалідні дані як валідні. CVE-2026-109619, «RCE через застарілий глобальний стан»: внутрішній стан, що належить запиту, може зберегтися після звільнення його пам'яті, і пізніший запит, оброблюваний тим самим воркером, може його використати, тобто use after free. Хто під ризиком, за словами PHP: «усі інсталяції PHP, які обслуговують вебзапити, включно з PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP та LiteSpeed». Найвищий ризик для mod_php, «з продемонстрованим експлойтом, де неавтентифікований запит може запустити атаку до виконання будь-якого коду застосунку». Продемонстрований експлойт, це не те саме, що експлуатація в реальних атаках; попередження PHP не повідомляє про атаки в реальному світі.

Ембарго все одно протекло. Публікації безпекових компаній, зокрема SecureLayer7, відстежували вади як CVE-2026-109618 та CVE-2026-109619 і повідомляли, що до релізу з'явився доказ концепції під назвою «PHP2Shell»; проєкт PHP його не верифікував, хоча SecureLayer7 повідомляє, що принаймні одна безпекова компанія заявляє про відтворення однієї з вад. У попередженнях PHP від 21 жовтня не повідомляється про експлуатацію в реальних атаках.

А далі всі, хто на старій гілці. «PHP 8.1 і старіші версії більше не отримують оновлень від проєкту PHP», зазначає оголошення, хоча деякі дистрибутиви та постачальники LTS надають бекпортовані виправлення. «З огляду на серйозність» команда безпеки PHP також опублікувала мінімальні бекпорти для вихідного коду PHP 7.4, 8.0 та 8.1, призначені для тих, хто збирає з вихідного коду або не має постачальника LTS; це патчі для застосування, а не готові релізи. Проєкт не опублікував бекпортів для PHP 7.3 і старіших, включно з PHP 5. Дистрибутиви Linux і постачальники LTS отримали патчі заздалегідь, а сама гілка PHP 8.2 досягає кінця підтримки 31 грудня 2026 року. Попередження PHP перелічує тимчасові заходи для тих, хто не може оновитися негайно, як-от встановлення memory_limit у -1, зменшення post_max_size чи вимкнення session upload progress, але зазначає, що вони «зменшують вразливість до окремих шляхів атаки, але не роблять інсталяцію безпечною»; за примітками до релізу, «оновлення, це єдиний безпечний вибір».

Суть у масштабі. За даними W3Techs, PHP працює на 69,3% сайтів із відомою серверною мовою, і серед цих PHP-сайтів 27,0% досі використовують версію 7, а 7,7% версію 5, гілки, що досягли кінця підтримки роки тому. Сайти на версії 7 включають PHP 7.4, який тепер принаймні має бекпорт на рівні вихідного коду; сайти на PHP 5 і на PHP з 7.0 до 7.3 не отримують від проєкту бекпорту. Попередження CERT-EU 2026-018 застерігало, що вразливості можуть стосуватися всіх версій PHP починаючи з PHP 5; це лишається його застереженням, тоді як попередження на GitHub називають ураженими лише підтримувані гілки, нижчі за 8.2.35, 8.3.36, 8.4.27 та 8.5.12, і не перелічують версій, що досягли кінця підтримки. Для сисадмінів із першого розділу це робота на сьогоднішній вечір і міграційний проєкт на наступний квартал, оголошені того самого вівторка, що й усе інше.

Що ще впало на столи захисників цього тижня?

Понеділок і вівторок продовжували додавати. Спільне попередження CISA та ФБР AA26-293A (20 жовтня) детально описує SafePay, операцію з шифрувальником-вимагачем, яка уразила щонайменше 600 організацій із серпня 2024 року. Щоб позбавити жертв можливості відновлення, йдеться в попередженні, SafePay зупиняє службу Volume Shadow Copy і скидає мережеві сховища резервних копій до заводських налаштувань, подекуди видаляючи всі підключені до мережі резервні копії. Головна порада попередження, це стара мудрість із новою нагальністю: резервні копії мають бути офлайновими, незмінними і реально перевіреними, бо доступні з мережі копії, це саме те, що знищує це угруповання.

Каталог відомих експлуатованих вразливостей CISA теж мав напружений тиждень: 20 жовтня до нього додали чотири вади Plex Media Server, які можна поєднувати в ланцюжок, і це важливо, бо Plex, рідкісний запис у KEV, який живе у вітальнях, а не в дата-центрах. Раніше того тижня додалися BeyondTrust Remote Support і Fortinet (16 жовтня), Atlassian Data Center (15 жовтня), а також Palo Alto PAN-OS, Cisco Secure Email Gateway та Ahsay (14 жовтня). Для кожного запису є докази експлуатації в реальних атаках.

Ще два сюжети окреслили тиждень. Ексклюзив Reuters від 19 жовтня описав хакера-одинака, який за допомогою автономних ШІ-агентів спробував вторгнення на понад 1 200 сайтів і зламав сайти понад 100 компаній, за ціною близько 50 доларів за вторгнення, за словами дослідника з NorForge; Reuters не змогло встановити, які дані були викрадені. Хоч би яким виявився остаточний підрахунок, головне тут економіка: якщо злам коштує близько 50 доларів, бюджетні скорочення з даних ISC2 виглядають ще менш виправданими. А у вівторок збій Google Cloud у лондонському регіоні збігся з відхиленням карток Revolut по всій Європі; сам Revolut підтвердив причину ввечері 20 жовтня, оголосивши о 19:39 за паризьким часом, що проблему усунуто і сервіси відновлено, та назвавши причиною збій Google Cloud; Google пояснює свій збій енергетичною подією в одній зоні лондонського регіону, і ніщо не пов'язує це з PwnEscape. Ми розібрали це окремо в нашому поясненні збою Revolut.

Який вигляд має весь тиждень поруч?

Що вам насправді варто зробити цього тижня?

Для більшості читачів чесна відповідь коротка. Оновіть браузер і операційну систему, що непомітно закриває сертифікатну історію. Якщо вдома у вас працює Plex Media Server, оновіть його сьогодні; ці вади експлуатують, а не лише теоретизують про них. І очікуйте фішингу, що позичає заголовки цього тижня, щось на кшталт «ваш обліковий запис постраждав у зламі PHP»; тут допомагає DNS-фільтр, який блокує відомі фішингові домени до їх завантаження, як-от Threat Protection від Le VPN, а якщо лист стверджує, що ваша пошта потрапила у витік, перевірте її за відомими витоками самостійно замість того, щоб клацати посилання. Решту базових речей охоплює наш хаб онлайн-безпеки (англійською).

Якщо у вас є сайт: сьогодні ж увечері з'ясуйте, на якій гілці PHP він працює. На гілках з 8.2 до 8.5 оновлення вже вийшло: встановіть 8.2.35, 8.3.36, 8.4.27 чи 8.5.12 зараз або запитайте свій хостинг, чи його встановлено, адже дистрибутиви Linux і постачальники LTS отримали патчі заздалегідь. На 7.4, 8.0 чи 8.1 варіанти, це мінімальні бекпорти для вихідного коду від команди безпеки PHP або бекпортоване виправлення від постачальника. На 7.3 чи старіших, включно з PHP 5, поставтеся до цього як до вирішального поштовху для оновлення, яке ви відкладали, а тим часом розгляньте пораду CERT-EU ізолювати все доступне з інтернету, що неможливо оновити. Якщо ваш сайт живе на VPS, справедливо поставити провайдеру два запитання: чи оновлено ядра хостів проти CVE-2026-99999 і коли буде вікно перезавантаження. І перевірте, що ваші резервні копії існують там, куди шифрувальник не дотягнеться: SafePay скидає або видаляє підключені до мережі резервні копії саме тому, що жертви на них розраховують.

Якщо ви керуєте людьми, які виконують цю роботу, цифри з опитувань на початку цієї публікації, це не кадрова цікавинка, а індикатор ризику. Звіт Proofpoint Voice of the CISO за 2026 рік виявив, що 77% CISO кажуть про надмірні очікування щодо них, а дослідження IANS/Artico про залученість рад директорів показало, що лише 29% директорів оцінюють отримувані кіберзвіти як дуже ефективні. Команда, яка цього тижня латала хости, замінювала сертифікати і читала витоки з-під ембарго опівночі, зробить це знову наступного місяця. Чи зробить вона це добре, чи паралельно оновлюючи резюме, це почасти питання рядка в бюджеті.

Ще один чесний абзац. VPN не запобіг би жодній події з цього списку. Він не латає сервери, не виправляє вади ядра чи PHP на сайтах, які ви відвідуєте, не зупиняє збої хмар і не замінює оновлення браузера, які заблокували погані сертифікати. Його функція вужча і все одно корисна: він шифрує трафік між вашим пристроєм і сервером VPN, тож хтось у тій самій Wi-Fi-мережі кафе не зможе перехопити те, що ви надсилаєте. Точно знати, що робить інструмент, і прямо про це казати, здалося правильним способом завершити тиждень, який жив страхом перед непідтвердженим.

Виправлення вийшли сьогодні по обіді за паризьким часом. Десь утомлений адміністратор тримає відкритий термінал і заброньоване вікно обслуговування, і до четверга ніхто поза командою не згадає, що це взагалі сталося. Ось який вигляд має безпека, коли вона працює: зовні, жодного.