ОтветыОпубликовано22 источники
Как исправления PHP2Shell добрались до серверов Debian и Ubuntu
21 октября 2026 года PHP выпустил исправления для двух уязвимостей удалённого выполнения кода, оценённых в 9,2 балла по CVSS v4.0. В тот же день Ондержей Суры подготовил пакеты для Debian и Ubuntu с исправлениями для PHP от версии 5.6 до 8.5 — в том числе для ряда старых выпусков.[17][28] Этот случай показывает: исп...
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- 21 октября 2026 года PHP выпустил исправления для двух уязвимостей удалённого выполнения кода, оценённых в 9,2 балла по CVSS v4.0.
- В тот же день Ондержей Суры подготовил пакеты для Debian и Ubuntu с исправлениями для PHP от версии 5.6 до 8.5 — в том числе для ряда старых выпусков.[17][28]
- Этот случай показывает: исправление должно пройти путь от разработчиков проекта через мейнтейнеров и дистрибутивы, прежде чем его смогут установить системные администраторы.[17][24]
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Ondřej Surý—a volunteer who has maintained Debian and Ubuntu PHP packages mostly in his spare time for more than 20 years while work. Article summary: Surý’s contribution was to help turn emergency PHP security fixes into updates that website operators could actually install—a crucial step between fixing source code and protecting running servers.[7] His experience ill. Topic tags: general, general web, news, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts w
Обнаружить уязвимость и исправить исходный код — ещё не значит защитить работающие серверы. Обновление нужно собрать и доставить в удобном для установки виде. Во время устранения PHP2Shell эту важную часть работы взял на себя волонтёр-мейнтейнер Ондержей Суры: он подготовил пакеты PHP для Debian и Ubuntu, включая исправления для старых версий.17
28
Что такое PHP2Shell
Так называют две уязвимости PHP: CVE-2026-109618 и CVE-2026-109619. В предварительном уведомлении команды безопасности PHP каждой присвоили оценку 9,2 по шкале CVSS v4.0.6
7 При успешной атаке злоумышленник без авторизации мог удалённо выполнить код на уязвимом сервере, обрабатывающем веб-запросы.
3
8
21 октября 2026 года проект PHP выпустил исправленные версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12.3 Это были обновления основного проекта. Но многим администраторам нужны не исходники, которые предстоит самостоятельно собирать, а готовые пакеты для их операционной системы.
Почему важны готовые пакеты
Суры более 20 лет помогает поддерживать PHP-пакеты для Debian и Ubuntu, в основном в свободное от основной работы время.17
32 По сообщениям, в день выпуска исправлений его репозиторий предоставил обновлённые пакеты для версий PHP от 5.6 до 8.5.
28
Это особенно важно для тех, кто использует старые выпуски. PHP 8.1 и более ранние версии уже не получают обычных обновлений от проекта PHP. Команда PHP опубликовала исправления в исходном коде для версий 7.4, 8.0 и 8.1; свои исправления выпускали и другие поставщики.2
33
Разница практическая: исходный патч нужно уметь применить и собрать, а готовый пакет позволяет администраторам быстрее установить обновление. Работа Суры помогла предоставить такой вариант пользователям Debian и Ubuntu, в том числе тем, кто оставался на старых версиях PHP.24
28 Однако доступные публикации подтверждают выпуск пакетов, но не показывают, сколько серверов установили их и как быстро это произошло.
Спор о сроках выпуска
Команда безопасности PHP заранее назначила выпуск на 21 октября и сообщила, что может опубликовать исправления раньше, если подробности уязвимостей станут известны или появятся свидетельства активной эксплуатации.7 Вокруг сроков возник спор: PHP Foundation заявила, что Chainguard нарушила согласованное эмбарго, опубликовав образы контейнеров с исправлениями более чем за шесть часов до запланированного выпуска.
34 В другом сообщении говорится, что глава Chainguard объяснил это решение появлением эксплойтов.
36 Эти публикации передают разные позиции, но сами по себе не разрешают спор.
Уязвимость исправлена — но работа продолжается
В устранении PHP2Shell участвовали исследователи, команда основного проекта, мейнтейнеры пакетов и системные администраторы, устанавливающие обновления. Работа Суры сделала особенно заметным звено между исправлением кода и его доставкой пользователям. Для безопасности открытого ПО важно не только найти и закрыть уязвимость, но и поддерживать инфраструктуру, через которую обновления доходят до работающих систем.17
24
Именно поэтому сопровождение пакетов — часть безопасности, а не второстепенная техническая задача. Обновления должны оставаться доступными и для систем, которые используют старые версии программного обеспечения.28
33
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «Как исправления PHP2Shell добрались до серверов Debian и Ubuntu»?
21 октября 2026 года PHP выпустил исправления для двух уязвимостей удалённого выполнения кода, оценённых в 9,2 балла по CVSS v4.0.
Какие ключевые моменты необходимо проверить в первую очередь?
21 октября 2026 года PHP выпустил исправления для двух уязвимостей удалённого выполнения кода, оценённых в 9,2 балла по CVSS v4.0. В тот же день Ондержей Суры подготовил пакеты для Debian и Ubuntu с исправлениями для PHP от версии 5.6 до 8.5 — в том числе для ряда старых выпусков.[17][28]
Что мне делать дальше на практике?
Этот случай показывает: исправление должно пройти путь от разработчиков проекта через мейнтейнеров и дистрибутивы, прежде чем его смогут установить системные администраторы.[17][24]