Разбор phpBB (CVE-2026-48611) инцидента
Добавлено: Пн июн 15, 2026 5:46 pm
Форум подвергся атаке через уязвимость phpBB (CVE-2026-48611), опубликованную буквально за несколько дней до этого. Злоумышленник на короткое время получил права администратора, удалил часть содержимого в нескольких разделах и подменил настройку переадресации.
Атака была обнаружена и пресечена в течение ~18 минут.
Хронология событий (время сервера, 15 июня)
10:02–10:06 — Злоумышленник зашёл на форум и осмотрелся: читал темы, список участников, профиль администратора.
10:07 — Воспользовался уязвимостью phpBB (CVE-2026-48611) и обошёл проверку входа.
10:09–10:11 — Зарегистрировал поддельную учётную запись и выдал ей права администратора.
10:11 — Вошёл в панель управления форумом.
10:13–10:14 — Включил и сразу отключил расширение privet/showbanner — из-за этого у части посетителей ненадолго появлялись ошибки на странице участников.
10:19 — Удалил сообщения в разделе «Администрация».
10:20 — Изменил настройки форума, включив переадресацию на посторонний сайт.
10:22 — Удалил сообщения в разделах «Лидеры Форума» и «Архив».
10:23 — Администратор заметил вторжение.
10:24 — Снял с поддельной учётки права администратора и заблокировал её.
10:25 — Злоумышленник попытался вернуть себе доступ (удалось на пару минут).
10:27 — Администратор сбросил пароль и почту поддельной учётки.
10:28 — Сброшены все активные сессии — доступ злоумышленника закрыт окончательно.
10:29 → далее — Форум переведён в офлайн, база данных восстановлена из резервной копии (создана в 02:02, до атаки), удалённое содержимое возвращено.
Весь инцидент — от проникновения до полной блокировы — занял около 18 минут.
Потерь пользовательских данных нет.
Ваши данные в безопасности:
- Личные сообщения участников не читались — ни одно сообщение не было открыто.
- Персональные данные (адреса эл. почты и пр.) не просматривались и не выгружались — злоумышленник не обращался ни к управлению пользователями, ни к инструментам экспорта/резервного копирования базы.
- Содержимое пострадавших разделов полностью восстановлено из резервной копии, потерь данных нет.
Атака была оппортунистической, а не целенаправленной.
Использован свежеопубликованный публичный эксплойт, доступ через анонимайзер (VPN).
Признаков кражи данных или внедрения вредоносного кода (бэкдоров) нет.
Принятые меры:
- Уязвимый механизм входа отключён — уязвимость закрыта.
Атака была обнаружена и пресечена в течение ~18 минут.
Хронология событий (время сервера, 15 июня)
10:02–10:06 — Злоумышленник зашёл на форум и осмотрелся: читал темы, список участников, профиль администратора.
10:07 — Воспользовался уязвимостью phpBB (CVE-2026-48611) и обошёл проверку входа.
10:09–10:11 — Зарегистрировал поддельную учётную запись и выдал ей права администратора.
10:11 — Вошёл в панель управления форумом.
10:13–10:14 — Включил и сразу отключил расширение privet/showbanner — из-за этого у части посетителей ненадолго появлялись ошибки на странице участников.
10:19 — Удалил сообщения в разделе «Администрация».
10:20 — Изменил настройки форума, включив переадресацию на посторонний сайт.
10:22 — Удалил сообщения в разделах «Лидеры Форума» и «Архив».
10:23 — Администратор заметил вторжение.
10:24 — Снял с поддельной учётки права администратора и заблокировал её.
10:25 — Злоумышленник попытался вернуть себе доступ (удалось на пару минут).
10:27 — Администратор сбросил пароль и почту поддельной учётки.
10:28 — Сброшены все активные сессии — доступ злоумышленника закрыт окончательно.
10:29 → далее — Форум переведён в офлайн, база данных восстановлена из резервной копии (создана в 02:02, до атаки), удалённое содержимое возвращено.
Весь инцидент — от проникновения до полной блокировы — занял около 18 минут.
Потерь пользовательских данных нет.
Ваши данные в безопасности:
- Личные сообщения участников не читались — ни одно сообщение не было открыто.
- Персональные данные (адреса эл. почты и пр.) не просматривались и не выгружались — злоумышленник не обращался ни к управлению пользователями, ни к инструментам экспорта/резервного копирования базы.
- Содержимое пострадавших разделов полностью восстановлено из резервной копии, потерь данных нет.
Атака была оппортунистической, а не целенаправленной.
Использован свежеопубликованный публичный эксплойт, доступ через анонимайзер (VPN).
Признаков кражи данных или внедрения вредоносного кода (бэкдоров) нет.
Принятые меры:
- Уязвимый механизм входа отключён — уязвимость закрыта.
