Атаки на WordPress и уязвимость PHP2Shell: что HiveProtect заблокировал на наших сайтах

21 октября 2026 года под названием PHP2Shell были обнародованы две критические уязвимости PHP. На уязвимом сервере они могут позволить взять под контроль движок, на котором работает WordPress. Боты не стали ждать официального объявления: уже с 18 октября наши собственные сайты подвергались атакам на WordPress, построенным по образцу этой комбинации. HiveProtect остановил их все.

Мы защищаем наши собственные сайты на WordPress с помощью HiveProtect. Поэтому мы открыли наши журналы и всё подсчитали: вот типология атак на WordPress, с которыми мы столкнулись, а также то, что заблокировал HiveProtect, и как именно. Чтобы наши правила оставались эффективными, мы не публикуем ни их пороговые значения, ни сигнатуры.

Атаки на WordPress: более 448 000 заблокированных запросов за 3 дня

С 20 по 23 октября, на фоне новостей о PHP2Shell, наши сайты, защищённые HiveProtect, заблокировали более 448 000 запросов. Более 425 000 из них были отсечены ещё до того, как достигли наших серверов, — фильтрующими правилами, размещёнными перед серверами, чтобы разгрузить их. Остальные дошли до наших серверов, где эстафету принял HiveProtect.

За полную неделю, с 16 по 23 октября, HiveProtect остановил на наших серверах 46 325 запросов, то есть более 6 600 в сутки. Это не случайные посетители: 36 293 запроса поступили от уже забаненных HiveProtect злоумышленников, причём почти все они были отклонены самим веб-сервером ещё до запуска PHP; 8 928 пришли с адресов, о которых сообщил общий список HiveShield; а 1 104 были атаками, которые брандмауэр обнаружил в самом запросе.

Это лишь видимая часть. За месяц наши сайты также более 7 800 раз ответили «страница не найдена» внешним посетителям, пришедшим с более чем 3 000 IP-адресов: среди них настоящие читатели, попавшие на устаревшую ссылку, но также и боты, которые проверяют страницы одну за другой, чтобы найти плохо защищённый сайт.

Семь семейств атак, остановленных HiveProtect

За 72 часа, с 19 по 22 октября, HiveProtect выявил и пометил на наших сайтах более 350 атакующих адресов. Схема ниже распределяет по типам их 403 сигнала; за этими сигналами мы выделяем семь семейств атак.

1. Разведчики: инвентаризация сайта

Большинство атак на WordPress начинаются с предварительного осмотра — того, что специалисты называют разведкой. Бот запрашивает десятки несуществующих страниц или файлы, характерные для того или иного плагина, чтобы узнать, что установлено и какой версии.

Как это останавливает HiveProtect: живой посетитель не запрашивает целую серию несуществующих страниц. В октябре мы добавили в HiveProtect отдельное правило для такого сканирования. Перед запуском его испытали на месячном объёме реального трафика: оно отсекло бы 48 IP-адресов, причём 29 из них ещё не были выявлены ни одним другим правилом, не затронув ни посетителя, ни клиента, ни поискового робота.

2. Охота за секретными файлами

Это семейство вызвало больше всего оповещений: забытые резервные копии, файлы конфигурации, папки инструментов разработки, доступ к админ-панелям. Всего один такой файл, оставленный не на месте, может выдать ключи доступа к базе данных.

Как это останавливает HiveProtect: у законного посетителя нет причин запрашивать эти файлы на сайте WordPress. За этот период ни один из них не был выдан, а адреса, которые их запрашивали, были забанены, как только их намерение стало очевидным.

3. Перечисление учётных записей пользователей

Прежде чем пытаться угадать пароль, нужно узнать логин. За 72 часа мы зафиксировали 777 запросов, нацеленных на составление списка учётных записей наших сайтов. Одна из кампаний была особенно организованной: шестнадцать последовательных волн, от двух до четырёх IP-адресов одновременно, находящихся в разных странах и замаскированных под современные браузеры.

Как это останавливает HiveProtect: в этой кампании каждый адрес был отклонён и забанен уже при первом запросе, нацеленном на учётные записи; его последующие запросы упирались в сам веб-сервер. Итог: ни одного имени учётной записи получить не удалось, а пятьдесят адресов кампании были переданы остальным нашим сайтам.

4. Поиск бэкдоров

Некоторые боты ищут следы предыдущего взлома — например, вредоносный файл, размещённый другим злоумышленником и оставшийся на месте. На уже скомпрометированном сайте такой файл сразу даёт им управление.

Как это останавливает HiveProtect: на здоровом сайте таких файлов нет; сам запрос к ним выдаёт намерение, и адрес отсекается, не успев продвинуться дальше.

5. Попытки выйти за пределы папки сайта

Это семейство связано с текущими событиями. Уязвимость WordPress позволяла заставить сайт загрузить файл, расположенный в другом месте на сервере; в сочетании с PHP2Shell она могла использоваться для выполнения кода. С середины сентября мы насчитали на наших сайтах 4 220 запросов такого типа, отправленных с 47 адресов. Ни один из этих запросов не был удовлетворён.

Как это останавливает HiveProtect: веб-адрес не должен выходить за пределы папки сайта, чтобы искать другие файлы на сервере. 18 октября HiveProtect остановил атаку, построенную по образцу PHP2Shell, уже при первой попытке, а затем забанил злоумышленника.

6. Самозванцы

Многие боты лгут о том, кто они на самом деле: они выдают себя за браузер, за крупную поисковую систему или за сервис искусственного интеллекта. Другие приходят с серверов, арендуемых почасово в дата-центрах, а у настоящего читателя такой профиль встречается редко.

Как это останавливает HiveProtect: он не доверяет тому, что посетитель заявляет о себе. Он проверяет ботов, которые выдают себя за представителей крупной поисковой системы, и учитывает реальный источник соединения. За этот период шесть таких серверов были отсечены уже при первом запросе.

7. Скоординированные нападения

Некоторые кампании срежиссированы: несколько адресов одновременно бьют по одному сайту, затем операция через несколько минут или часов переходит к следующему сайту, чтобы остаться незамеченной.

Как это останавливает HiveProtect: это роль HiveShield — общего списка HiveProtect. Об адресе, пойманном с поличным на одном сайте, сообщается, после чего его отклоняют и остальные защищённые сайты: за 7 дней один только этот список заблокировал на наших серверах 8 928 запросов.

А как насчёт попыток подбора паролей?

Одно семейство оставалось малозаметным: попытки подбора паролей. Два залпа, зафиксированные ранее в этом месяце, 17 октября, были отклонены, и ни одна попытка входа не увенчалась успехом.

PHP2Shell: как HiveProtect пресёк атаку

Сама по себе уязвимость PHP2Shell трудно поддаётся эксплуатации. Проще всего использовать её в сочетании с уязвимостью включения файлов, такой как упомянутая выше уязвимость WordPress. Именно такая атака была направлена на наши сайты, и HiveProtect пресёк её на трёх уровнях:

• С первой попытки: запрос на включение файла отклоняется брандмауэром HiveProtect до того, как WordPress успевает его обработать.
• Как можно ближе к серверу: злоумышленник сразу банится. Его последующие запросы отклоняет сам веб-сервер, и они даже не доходят до PHP: атака больше не может увенчаться успехом.
• На всех сайтах: о его адресе сообщается в HiveShield, который делится им с остальными защищёнными сайтами.

Результат: ни одна из этих попыток не увенчалась успехом на наших сайтах. В этом и вся сила эшелонированной защиты: несколько барьеров, каждый из которых способен остановить злоумышленника.

Это не первый случай, когда целью становится PHP: мы уже рассказывали, как HiveProtect заблокировал атаку CVE-2024-4577.

Почему эти атаки не удались: что делает HiveProtect

• Он отклоняет рано: чем раньше остановлен вредоносный запрос, тем меньше у него шансов затронуть уязвимость — известную или пока ещё неизвестную.
• Он банит надолго: адрес, проявивший свои намерения, не имеет права на второй шанс, а бан применяется как можно ближе к серверу.
• Он делится информацией: благодаря HiveShield то, что узнаёт один сайт, быстро становится полезным для всех остальных.
• Он разоблачает самозванцев: поддельные боты и подозрительные соединения распознаются, что бы они о себе ни заявляли.

Все эти меры защиты подробно описаны в разделе функций HiveProtect, а наша статья «Атаки WordPress никогда не спят» показывает, как такие кампании идут одна за другой изо дня в день.

Что вы можете сделать уже сегодня

• Установите брандмауэр для WordPress, который банит злоумышленников, а не просто замедляет их, и делится тем, что узнаёт.
• Поддерживайте PHP, WordPress, вашу тему и плагины в актуальном состоянии, а плагины, которыми вы больше не пользуетесь, удалите.
• Не оставляйте ни резервных копий, ни файлов конфигурации в папках, доступных из интернета.
• Используйте собственный адрес страницы входа и уникальные пароли.

Чтобы установить и настроить HiveProtect, воспользуйтесь документацией и центром помощи: в них подробно описан каждый шаг.

Подведём итоги

На фоне новостей о PHP2Shell наши сайты, защищённые HiveProtect, заблокировали более 448 000 запросов за 3 дня, а HiveProtect остановил на наших серверах более 46 000 запросов за неделю, распределённых по семи семействам атак. Перед лицом PHP2Shell, как и всего остального, логика HiveProtect не меняется: отклонять рано, банить насовсем и делиться информацией.

Ваш сайт подвергается тем же атакам на WordPress, видите вы их или нет. Ознакомьтесь с тарифами HiveProtect и защитите его уже сегодня.