II Кибервойна и критическая инфраструктура·Анализ·Азиатско-Тихоокеанский регион
Патч для PHP вышел, но окно для атак в Азии не закрылось
24 октября CYFIRMA сообщила, что корееязычная группа атакует через PHP2Shell правительства и банки 9 стран. В заголовках Lazarus, но настоящее ограничение — серверы со старым кодом без патчей, тянущимся с 2012 года.
Отдел киберугроз и критической инфраструктуры · 25 октября 2026 г. · 7 мин чтения · 9 источников
Почему это важно
Шум: северокорейская группа Lazarus атакует весь мир через уязвимость PHP; однако CYFIRMA оценивает эту связь лишь со средней уверенностью. Сигнал: 23 октября Censys насчитал 34,4 млн уязвимых сервисов PHP, а эксплуатация началась 17 октября, за 4 дня до патча. Уязвимый код восходит к 2012 году, но исправления вышли только для веток 8.2–8.5. Окно закроет не патч, а скорость вывода старых версий из эксплуатации.
Последствия
- Кампания, которую CYFIRMA назвала June 2026 Minjun, поставила в приоритет правительственные ведомства и банки 9 стран, включая Южную Корею, Японию, Тайвань и Австралию.
- 22 октября Южная Корея повысила уровень киберугрозы для частного сектора до «Предупреждения»; в Японии Национальное налоговое управление временно отключило свой сервис.
- 23 октября PHP сообщил о втором риске удалённого выполнения кода; патч для CVE-2026-115560 отложен до следующего планового релиза.
Шум
Lazarus атакует правительства и банки по всему миру через PHP2Shell
Сигнал
Главный риск — старые версии PHP без патчей и эксплуатация до выхода исправлений
Шум в атрибуции, сигнал в серверах без патчей
Главная новость недели — кампания PHP2Shell, о которой 24 октября сообщила сингапурская CYFIRMA и которую связывают с северокорейской группой Lazarus. Однако компания оценивает эту связь лишь со средней уверенностью. Она сама пишет, что не нашла прямых совпадений с известным вредоносным ПО или инфраструктурой Lazarus. Часть атрибуции с высокой уверенностью говорит о другом. Корееязычная группа развернула инфраструктуру из 15 элементов и готовится завершить список целей 25 октября. В нём на первом месте правительственные ведомства и банки 9 стран; шесть из них — Южная Корея, Япония, Тайвань, Австралия, Индия и Сингапур.
Скрытый параметр — не то, кто атакует, а то, сколько серверов невозможно исправить. По данным Sysdig, уязвимый код восходит к PHP 5.4, то есть к 2012 году. Патчи 21 октября вышли только для поддерживаемых веток 8.2–8.5. На 23 октября Censys насчитал 34,4 млн уязвимых сервисов PHP. Один из злоумышленников, которых отслеживает Hunt.io, нацелился на 123 сервера; примерно на 57 из них работал PHP. Большинство этих серверов использовали неподдерживаемые версии 5.x–7.x. Патча для них нет: остаётся изолировать, отключить или обновить версию.
Почему окно открылось раньше 21 октября
Серверы-ловушки Amazon зафиксировали первую попытку эксплуатации 17 октября, за 4 дня до патча. Команда PHP объяснила, что подробности утекли около 20 октября через предварительное уведомление ряду поставщиков критической инфраструктуры. Поэтому график выпуска исправлений пришлось ускорить. Директор AWS по безопасности CJ Moses заявил, что разные полезные нагрузки и инфраструктура указывают на нескольких участников. CYFIRMA советует организациям искать следы проникновения начиная с 17 октября. Это значит, что дата публичного раскрытия не может считаться началом обороны.
Скорость тоже сыграла против Азии. Cloudflare насчитала десятки тысяч попыток в первые 45 минут после раскрытия, сотни тысяч за 2 часа и миллионы к утру 22 октября. 23 октября генеральный директор компании Matthew Prince сказал Nikkei, что сеть видит около 1 млн попыток атак в минуту. По его словам, уязвимости такого же масштаба ещё появятся. В тот же день PHP сообщил о втором риске удалённого выполнения кода под номером CVE-2026-115560. Исправление этой уязвимости отложено до следующего планового релиза.
Три азиатские столицы ответили по-разному
Токио выбрал отключение. Вечером 21 октября премьер-министр Такаити призвала в X владельцев сайтов проверить, используют ли они PHP. Тем, кто не может быстро установить патч, она посоветовала временно закрыть сайт; публикация за несколько часов набрала более 30 млн просмотров. По данным Reuters, Nomura, MUFG, ANA и JR East приостановили часть сервисов, а Национальное налоговое управление временно отключило свой сервис. За первые 9 месяцев 2026 года Япония зарегистрировала больше киберинцидентов, чем за весь 2025 год.
Сеул повысил уровень тревоги. 22 октября Министерство науки и ИКТ вместе с KISA подняли уровень киберкризиса для частного сектора с «Внимания» до «Предупреждения». Ведомства потребовали изолировать серверы, которые нельзя исправить. Одновременно Корея разбирается с взломами банков, продолжающимися с сентября; на 14 октября пострадавшими считались 16 финансовых организаций. Пекин не призывал к отключению. Министерство промышленности и информатизации попросило организации проверить системы и сменить пароли, а Tencent Cloud посоветовала клиентам обновиться.
Ограничение не техническое, а институциональное
Главное ограничение здесь — не код патча, а способность организаций выводить из эксплуатации старые версии. В Сеуле эта способность слаба и на стороне расследований. По данным Seoul Economic Daily, новое Сеульское агентство по расследованию тяжких преступлений 23 октября за 3 дня вернуло полиции дело об атаках на банки с применением ИИ. Пост руководителя отдела киберпреступлений агентства пустует. Совет, который должен разрешить межведомственный спор о полномочиях, начнёт работу только в феврале.
Средняя уверенность в атрибуции — тоже политическое ограничение. CrowdStrike со средней уверенностью связала атаки на корейские банки в конце сентября с корыстным китаеязычным участником. Aju Press пишет, что доказательств связи этих инцидентов с кампанией PHP2Shell нет. Пока два дела остаются раздельными, Сеул не может официально обвинить ни одну столицу. Оборона тоже ограничивается техническими мерами.
Что опровергнет эту оценку
Первым опровержением стало бы отсутствие надёжного эксплойта. На 22–23 октября Previdian, Wordfence и Dataminr не видели успешного выполнения кода; ни одна из 123 целей, отслеживаемых Hunt.io, не была взломана. Вместе с тем VulnCheck разработала технику, которая связывает две уязвимости и обходит рандомизацию адресного пространства на системах x86-64. Если в ближайшие 2 недели в Азии не появится официального уведомления о взломе через PHP2Shell, окно окажется уже, чем считалось. Тогда риск останется проблемой отдельных организаций.
Второе опровержение — если после списка целей, который должен быть готов 25 октября, CYFIRMA не сообщит о новых следах подготовки, а Корея вернёт уровень тревоги к «Вниманию». И наоборот, обнаружение веб-шелла от 17 октября хотя бы в одном азиатском банке поднимет вероятность H2 выше 30. Тогда спор сместится от скорости установки патчей к ответственности организаций, которые держат старые версии в работе.
Вероятности
Сценарии
| Сценарий | Вероятность | Триггер | Влияние на рынки |
|---|---|---|---|
| H1Разрозненные и ограниченные взломы | 55 % | Кампания начинается, веб-шеллы находят в нескольких непропатченных организациях, но системного сбоя в финансах нет. | Превентивные отключения длятся неделями, уведомления о взломах приходят поодиночке, уровни тревоги остаются высокими. |
| H2Целевой взлом в финансах | 30 % | В банке или правительственном ведомстве Кореи, Японии или Тайваня подтверждается крупная утечка данных через PHP2Shell. | Регуляторы вводят обязательные проверки и уведомления; спор об атрибуции выходит на дипломатический уровень. |
| H3Окно закрывается рано | 15 % | Надёжного эксплойта нет, патчи и изоляция быстро распространяются, Корея снижает уровень тревоги. | Кампания откладывается, риск остаётся проблемой небольших организаций со старыми версиями. |
Модуль A
Матрица ограничений
СРЕДНЕЕ СТРУКТ. 3,8 · СРЕДНЕЕ ОПЕР. 2,7Преобладают структурные ограничения: исход определяется скорее этими рамками, чем предпочтениями участников.
Структурные ограниченияустойчивые · не зависят от воли участников
Неподдерживаемые версии PHP
5/5Уязвимый код восходит к PHP 5.4 2012 года, а патч вышел только для веток 8.2–8.5; большинство из 57 серверов PHP, отслеживаемых Hunt.io, работали на 5.x–7.x, и патчей для них не будет.
Эксплуатация началась до патча
4/5Amazon зафиксировала первую попытку 17 октября, патч вышел 21 октября; серверы, взломанные за эти 4 дня, остаются под угрозой и после патча.
Атрибуция со средней уверенностью
3/5CYFIRMA оценила связь с Lazarus со средней уверенностью и не нашла общего вредоносного ПО или инфраструктуры; Сеул ждёт доказательств для официального обвинения.
Пробел в полномочиях следствия в Корее
3/5Сеульское агентство по расследованию тяжких преступлений 23 октября вернуло дело об атаке на банки; совет, который должен разрешить спор о полномочиях, заработает только в феврале.
Операционное трениевременное · ослабевает со временем
Цена превентивных отключений дни
3/5В Японии Национальное налоговое управление временно отключило сервис, Nomura, MUFG, ANA и JR East приостановили часть услуг; чем дольше простой, тем выше издержки.
Объём атак дни
3/523 октября Cloudflare сообщила о примерно 1 млн попыток атак в минуту в своей сети; шум сканирования маскирует целевые попытки.
Вторая уязвимость без патча недели
2/5Патч для CVE-2026-115560 отложен до следующего планового релиза; временное решение — настройка session.upload_progress.enabled=0.
Модуль B
Сигнал и шум
СИГНАЛ 67 % · ШУМ 33 %
- ШУМ
Lazarus атакует правительства и банки по всему миру через PHP2Shell
24 октября CYFIRMA оценила связь с Lazarus лишь со средней уверенностью; прямых совпадений с известным вредоносным ПО или инфраструктурой Lazarus не найдено.
Aju Press — Suspected North Korea-linked hackers target Korean banks, government
- СИГНАЛ
Главный риск — старые версии PHP без патчей и эксплуатация до выхода исправлений
23 октября Censys насчитал 34,4 млн уязвимых сервисов PHP; уязвимый код восходит к PHP 5.4 2012 года, а патч вышел только для веток 8.2–8.5.
The Hacker News — PHP2Shell Exploit Attempts Hit Millions as Attackers Try to Deploy Mirai Malware
- СИГНАЛ
Эксплуатация началась до публичного раскрытия
Amazon зафиксировала первую попытку 17 октября, за 4 дня до патчей 21 октября; подробности утекли около 20 октября.
BleepingComputer — Amazon says PHP2Shell exploitation began 4 days before patches
- СИГНАЛ
Злоумышленник ускоряет выбор целей с помощью ИИ
По данным CYFIRMA, группа ранжирует публичные эксплойты с помощью модели ИИ, развернула инфраструктуру из 15 элементов и завершит список 25 октября.
- ШУМ
Патчи вышли, кризис исчерпан
23 октября PHP сообщил о втором риске удалённого выполнения кода, CVE-2026-115560, и отложил патч до следующего планового релиза.
The Hacker News — PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches
- СИГНАЛ
Объём атак не снижается, ожидаются новые уязвимости
23 октября генеральный директор Cloudflare сказал, что компания видит около 1 млн попыток в минуту и что уязвимости такого же масштаба ещё появятся.
Nikkei Asia — More PHP-scale dangers lurk on the internet, CloudFlare CEO says
Модуль C
Выводы по классам активов и позиционированию
| Класс активов | Экспозиция | Канал трансмиссии | H1 | H2 | H3 | Ожидаемое | Уверенность | Горизонт | Что отслеживать |
|---|---|---|---|---|---|---|---|---|---|
| Акции | Сектор услуг кибербезопасности в Азии | Расходы на срочные патчи, мониторинг и реагирование на инциденты | + | ++ | 0 | +1,15 | ●●● | 0–3 мес. | Уведомления организаций о взломах в Корее и Японии |
| Акции | Банковский сектор Кореи и Японии | Издержки взломов, компенсации и бремя проверок | 0 | −− | + | −0,45 | ●●● | 0–3 мес. | Заявления Комиссии по финансовым услугам Кореи |
| Волатильность | Волатильность азиатских акций | Отражение взлома финансовой инфраструктуры в премии за риск | 0 | + | − | +0,15 | ●●● | 0–3 мес. | VIX и региональные индексы волатильности |
| Кредит | Кредит азиатских хостинговых и веб-компаний | Издержки компенсаций и простоя бизнеса | 0 | − | 0 | −0,30 | ●●● | 3–12 мес. | Заявления хостинговых компаний о компенсациях и страховании |
Эффекты второго порядка
И что потом?
Отправная точка
Эксплуатация PHP2Shell началась 17 октября, за 4 дня до патча; на 23 октября уязвимыми были 34,4 млн сервисов PHP, а для неподдерживаемых версий патча нет.
- 1
Выбор целейв течение дней
Группы, завершившие список целей, переходят от массового сканирования к тихим выборочным попыткам против непропатченных серверов правительств и банков; публичные данные сканирования падают, а риск растёт.
Что отслеживать: Обновления CYFIRMA и KISA после 25 октября; находки веб-шеллов, датированных после 17 октября
- 2
Уведомления о взломахв течение недель
Первые целевые взломы подтверждаются в финансовой или логистической компании Кореи, Японии или Тайваня; регуляторы запускают уведомления о взломе и процедуры компенсаций, а организации продлевают отключения.
Что отслеживать: Первое официальное уведомление о взломе через PHP2Shell в Азии и заявления FSC Кореи
- 3
Регулирование и страхованиев течение месяцев
Регуляторы вводят обязательные правила для неподдерживаемых версий ПО, а киберстрахование ужесточает премии и условия покрытия для пользователей старых версий; в Японии вновь обсуждаются полномочия активной киберобороны.
Что отслеживать: Проекты правил FSA Японии и FSC Кореи по устаревшим версиям ПО
Что обрывает цепочку
Если надёжный эксплойт не появится в течение 2 недель, а неподдерживаемые серверы будут изолированы, цепочка остановится на первом шаге; на 22–23 октября успешного выполнения кода не зафиксировано.
Триггеры
Пороги для наблюдения
| Показатель | Порог | Сегодня | Значение |
|---|---|---|---|
| Индекс волатильности VIX | > 20 | 16,91 | Рост VIX выше 20 покажет, что взлом банковской или биржевой инфраструктуры в Азии через PHP2Shell перекинулся на глобальный аппетит к риску. |
Источники
- Aju Press — Suspected North Korea-linked hackers target Korean banks, government
- Electronic Times (전자신문) — замечен план атак через уязвимость PHP, изучается связь с северокорейскими хакерами
- The Hacker News — PHP2Shell Exploit Attempts Hit Millions as Attackers Try to Deploy Mirai Malware
- The Hacker News — PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches
- BleepingComputer — Amazon says PHP2Shell exploitation began 4 days before patches
- Taipei Times (Reuters) — Millions of hacking attempts amid rush to patch PHP
- Nikkei Asia — More PHP-scale dangers lurk on the internet, CloudFlare CEO says
- Tech-ish — Japan's PM, the NSA and the FBI tell websites to update PHP or go offline
- Seoul Economic Daily — Financial Hacking Case Returns to Police as New Crime Agency Declines
Правила работы с источниками и проверки: методология · Сообщить об ошибке: контакты
Связанные доклады
IIКибер и инфраструктура·Анализ·Азиатско-Тихоокеанский регион
В Японии счёт за кибератаку оплачивает баланс, а не полис
27 октября Токио запросил редкую блокировку сайта атакующих. Тихая цифра в другом месте: спред облигаций GMO с погашением в 2031 году за 8 дней расширился на 52 б.п., потому что японские полисы не покрывают выкуп и часто не покрывают перерыв в деятельности.
Отдел киберугроз и критической инфраструктуры · 30 октября 2026 г. · 6 мин
IIКибер и инфраструктура·Анализ·Азиатско-Тихоокеанский регион
Кибератаки в Азии бьют не по банкам, а по арендованным серверам брокеров
28 октября GMO объявила награду в 1 млн долларов, а в Корее в тот же день о взломах сообщили ещё 3 финансовые компании. В заголовках — сумма выкупа. Ограничение же в том, что слой арендованных серверов между клиентом и рынком в обеих странах не входит в понятие критической инфраструктуры.
Отдел киберугроз и критической инфраструктуры · 28 октября 2026 г. · 6 мин
VТехнологии и ИИ·Анализ·Азиатско-Тихоокеанский регион
Чипы искусственного интеллекта сводят рост Азии к одной статье
Корея 27 октября отчиталась о росте 1%, и половину прироста принесли чипы; в тот же день появилось сообщение о подорожании упаковки TSMC до 20%. Заголовок говорит о силе, а ограничение — в росте, привязанном к одному циклу, и в удвоившемся сроке поставки оборудования.
Отдел технологической геополитики · 27 октября 2026 г. · 7 мин