Как сломать сервер без обновления PHP. НА Пальцах

В сфере искусственного интеллекта произошло заметное событие. grigoriy-melnikov 2 минуты назад Краткое содержание статьи Как сломать сервер без обновления PHP. НА Пальцах Простой 4 мин 1 Информационная безопасность * Спам и антиспам Интернет-маркетинг * Повышение конверсии * Антивирусная защита * Обзор Привет! Я Григорий Мельников, создатель KillBot.

Сегодня расставлю акценты, чтобы тебе стало понятно, как злоумышленник может взломать твой сервер через уже известные уязвимости PHP2Shell (CVE-2026-109618 и CVE-2026-109619). Принцип работы этих уязвимостей уже раскрыт в других статьях на Хабре, например тут. ЛЮБОЙ PHP код атакующего будет выполнен внутри процесса PHP на твоем сервере, еще ДО того, как начнёт выполняться твой код.

Технические детали

То есть сначала сработает код злоумышленника, а уже потом - твои валидаторы, проверки и прочая защита на уровне приложения. Какие есть ограничения? Злоумышленник выполняет вредоносный код внутри PHP-процесса.

Это означает, что атакующий получает права пользователя, от имени которого работает PHP. Если PHP работает с правами администратора системы - то, "да простится тебе эта ошибка! Но обычно на Ubuntu с Apache и mod_php используется пользователь www-data.

Хакер, это тот же пользователь www-data, который прямо сейчас обрабатывает процессы твоего сайта. Хакер сможет делать всё, что разрешено этому пользователю. А теперь давай посмотрим, что обычно разрешено процессу PHP на твоём сайте:Читать исходники сайта?

Отраслевые последствия

Читать конфигурационный файл с паролем MySQL? Записывать файлы в каталог сайта? Запускать системные команды?

Если отдельно не ограничивал - тоже ДА! С этим мы живем, и это отличная возможность хакеру обнулить тебя. И для этого ему не потребовался ни пароль администратора к сайту, ни доступ по SSH.

Вот другая моя другая статья - о том, как нужно защищать сервер, чтобы проникновение не привело к катастрофическим последствиям. ПРИМЕР: как можно обнулить сайт практически на ЛЮБОЙ CMS через PHP2Shell! Допустим, твой сайт работает под управлением CMS под названием BEST-CMS-IN-THE-WORLD.

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.