Злоумышленники пытаются вербовать уязвимые PHP-серверы в «Potassium» — ботнет производной от Mirai сети, созданный для распределённых атак типа «отказ в обслуживании» (DDoS), — однако до сих пор кампания не может добиться успеха. Исходный код Mirai стал публичным в 2016 году, и descended от этого семейства ботнеты стояли за некоторыми из крупнейших DDoS-кампаний в истории. The Hacker News сообщил 23 октября, что подтверждённых компрометаций серверов не зафиксировано, несмотря на то что число попыток эксплуатации достигло сотен тысяч.

Целевые уязвимости

Кампания сосредоточена на двух уязвимостях PHP — CVE-2026-109618 и CVE-2026-109619, обе из которых получили оценку критичности 9,2 из 10 — уровень, относящийся к критическому диапазону шкалы CVSS, — и обе позволяют выполнять удалённый код без аутентификации, то есть злоумышленнику не нужны учётные данные для выполнения команд на уязвимом сервере. PHP выпустила исправления 21 октября, но к этому моменту хакеры уже начали атаки на эти уязвимости.

Миллионы проб, ноль подтверждённых взломов

Эти цифры показывают, насколько масштабны разведывательные действия злоумышленников. Imperva зафиксировала 482 342 попытки запросов в 122 311 сессиях, направленные на 21 998 сайтов в 103 странах в течение 24 часов. Тем временем Censys сообщила об обнаружении более 41 млн доступных из интернета PHP-сервисов на уязвимых версиях, и лишь около 1 млн экземпляров работали на исправленных версиях ПО по состоянию на 22 октября — то есть подавляющее большинство подверженных риску серверов оставалось без исправлений спустя полный день после выпуска патчей. Данные о сканировании или количестве подверженных риску недостаточны для подтверждения реальной компрометации.

Что увидела Sophos, а затем отозвала

Arctic Wolf сообщает, что попытки выполнения команд и загрузки вредоносного ПО были отнесены к Potassium. Отдельный анализ в песочнице выявил другой образец, который обращался к thunder.godofthunder[.]st через IP 134.199.154[.]64 по TCP-порту 50792 и атаковал два украинских хоста Это продемонстрировало потенциал вредоносного ПО, но не то, что злоумышленники взломали производственные серверы. 22 октября Sophos отозвала прежнее заявление об успехе, сообщив The Record, что наблюдала лишь неудачные попытки атак.

24 команды флуда и спящий переключатель ENS

Arctic Wolf выявила, что Potassium включает 24 команды флуда, охватывающие все типы ICMP, TCP, UDP и OpenVPN. Обе версии вредоносного ПО — ARM и x86-64 — также содержат функциональность поиска через Ethereum Name Service (ENS) — децентрализованную систему имён, работающую на блокчейне Ethereum, а не в традиционной иерархии DNS, — но в обоих случаях эта функция отключена. Ethereum и ENS не были скомпрометированы. Однако, если функция поиска ENS будет активирована, заблокировать командные серверы ботнета с помощью обычных средств контроля DNS и IP станет сложнее.

Бесполезные PoC против работающего приватного эксплойта

Многие общедоступные эксплойты-доказательства концепции (PoC) не срабатывают против производственных защит, в частности против рандомизации адресного пространства (ASLR) — метода защиты, который случайным образом распределяет расположение кода и данных программы в памяти, чтобы эксплойты не могли надёжно ориентироваться на фиксированные адреса. Спенсер Макинтайр из VulnCheck охарактеризовал многие циркулирующие образцы как «мусорные и неработоспособные», цитирует The Record.

Однако эта защита не безупречна. VulnCheck разработала приватный эксплойт, обходящий ASLR на настроенном для производственной среды PHP 8.4.26, а позднее расширила поддержку ряда сборок 8.4 и 8.5. Джон Хультквист из Google назвал угрозу «реальной и очень серьёзной», по данным The Record.

Почему DDoS-ботнет беспокоит хостинг- и криптооператоров

Более широкая угроза уже весьма значительна. Cloudflare зафиксировала 935 DDoS-атак, превышавших 1 терабит в секунду, в первом полугодии 2026 года, согласно её отчёту об угрозах. Эти атаки не были отнесены к Potassium, но они иллюстрируют масштаб сбоев, с которыми сталкиваются хостинг-провайдеры, платёжные процессоры и криптоплатформы. С PHP2Shell не связаны никакие финансовые потери.

Новая рекомендация PHP и на что обратить внимание

23 октября PHP раскрыла ещё одну проблему, CVE-2026-115560, связанную с необычной конфигурацией приложения. До выхода обычного исправления рекомендуется установить session.upload_progress.enabled=0 — директиву конфигурации, отключающую функцию прогресса загрузки PHP, которая также служит мерой смягчения для CVE-2026-109619.

Администраторам следует установить PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35, перезапустить воркеры, чтобы работающие процессы фактически подхватили исправленный код, и отслеживать подозрительные загрузки. Директор по информационной безопасности Cobalt Эндрю Обадиару предупредил, что текущее затишье — это «отложенное время» («borrowed time»), цитирует The Record.