PHP2Shell раскрыт — начинаем наблюдать

21 октября 2026 года были раскрыты две критические RCE-уязвимости в PHP — CVE-2026-109618 и CVE-2026-109619. Они получили общее название PHP2Shell и оценку 9.2 по CVSS.

Для команды ИБ здесь важен не только сам факт появления новой уязвимости.

Проблема в другом: в первые часы и дни после раскрытия обычно еще мало информации о том, как именно уязвимость будут эксплуатировать на практике и какие сценарии появятся у атакующих.

В HoneyCorn для таких случаев мы используем генеративный ИИ.

Модель позволяет создавать высокоинтерактивные ханипоты по текстовому запросу или идентификатору CVE. Это сокращает время между появлением новой уязвимости и развертыванием специализированной ловушки.

В случае PHP2Shell можно быстро создать контролируемую среду, которая имитирует уязвимый PHP-сервис и позволяет наблюдать за тем, что атакующий делает после попытки эксплуатации.

И вот здесь начинается самое интересное.

Низкоинтерактивная ловушка в основном покажет сам факт подключения или попытки эксплуатации.

Высокоинтерактивная позволяет пойти дальше и посмотреть:

— какие запросы и payload использует атакующий
— какие команды выполняет после получения доступа
— пытается ли закрепиться в системе
— какие скрипты и файлы загружает
— какие инструменты и техники использует
— какие IoC можно получить из этой активности.

Дальше эти данные можно использовать в SIEM и SOAR, передавать в SOC, применять для Threat Hunting, правил обнаружения и автоматизированного реагирования.

Ловушка в таком сценарии дает значительно больше, чем сам факт попытки эксплуатации. Она позволяет увидеть, как развивается атака после получения доступа и какие действия предпринимает злоумышленник дальше.

Для новых CVE это особенно важно: готовых сигнатур и накопленной практики еще может быть мало, а реальное поведение атакующих уже можно наблюдать.

Генеративный ИИ помогает быстрее адаптировать deception-инфраструктуру под такие угрозы и сокращать время между публикацией уязвимости и появлением рабочего инструмента наблюдения.

#HoneyCorn #Deception #PHP2Shell