ОтветыОпубликовано27 источники
PHP2Shell: две критические уязвимости и гонка за экстренными патчами
PHP2Shell — это две уязвимости PHP, CVE 2026 109618 и CVE 2026 109619. Они могли позволить выполнить код на сервере без входа в систему; обе получили оценку 9,2 по CVSS.
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- PHP2Shell — это две уязвимости PHP, CVE 2026 109618 и CVE 2026 109619. Они могли позволить выполнить код на сервере без входа в систему; обе получили оценку 9,2 по CVSS.
- Утечка сведений 20 октября привела к тому, что исправления выпустили 21 октября — раньше запланированной даты, 22 октября.
- Экстренные версии PHP: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Оценка в 22,6 млн потенциально уязвимых интернет доступных экземпляров означает возможное воздействие, а не подтверждённые взломы.
- Сообщалось о попытке эксплуатации до публичного раскрытия, но доступные данные не доказывают масштабных успешных взломов.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell стал срочным поводом проверить и обновить серверы, на которых работает PHP. Под этим названием объединили две уязвимости ядра языка — CVE-2026-109618 и CVE-2026-109619. При определённых условиях они позволяли удалённо выполнить код без аутентификации, то есть злоумышленнику не требовалось предварительно входить в систему. Обе получили оценку 9,2 по шкале CVSS. 3
9
10
Главная практическая оговорка: число потенциально уязвимых серверов показывает масштаб возможного риска, но не количество подтверждённых компрометаций. В доступных сообщениях есть сведения о попытках атак, однако они не устанавливают, что PHP2Shell привёл к массовым успешным взломам.
Как нашли уязвимости
В августе 2026 года исследователи компании Calif обнаружили проблемы в рамках инициативы OpenAI Patch the Planet; Wiz также сообщила об их независимом обнаружении. В материалах о расследовании упоминаются GPT-5.6 Sol, Wiz Atlas и Gemini 4 Argon. Источники подтверждают участие ИИ-инструментов, но не позволяют уверенно распределить каждый инструмент по конкретной уязвимости и этапу работы. 6
21
Уязвимости находились в самом PHP, а не в отдельной теме, плагине или системе управления сайтом. Одна связана с повреждением памяти при исчерпании лимита памяти, другая — с использованием устаревшего глобального состояния. 4
7
22
Проблема затрагивала версии PHP, начиная с 5.4; в публикациях также указывается диапазон до ветки 8.5. Поэтому затронуты могли быть самые разные серверные конфигурации, если они обрабатывали веб-запросы. При этом сам диапазон версий не подтверждает точную историю в 14 лет: доступные материалы не позволяют установить, когда именно уязвимости появились в коде. 2
14
Утечка ускорила выпуск исправлений
Сведения об уязвимостях стали публичными 20 октября — раньше предполагаемого срока. Плановый выпуск патчей был назначен на 22 октября, но PHP выпустил исправления уже 21 октября. Forrester сообщает, что релизы появились в 14:00 UTC. 2
7
18
24
Исправления вышли для PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Это перечисленные в источниках экстренные релизы; по ним нельзя делать вывод, что для всех более старых веток PHP существовали официальные обновлённые сборки. Для таких установок важно проверять рекомендации своего дистрибутива или хостинг-провайдера. 5
15
24
Рекомендации были адресованы администраторам и организациям, использующим PHP в веб-сервисах. Агентство национальной безопасности США советовало составить перечень зависимых от уязвимых версий систем и в приоритетном порядке установить исправления; CISA также призывала обновиться без промедления. Google, AWS и Microsoft публиковали инструкции для клиентов. 3
17
18
Потенциальный охват — не число взломов
TechTarget приводил оценку, что PHP используется примерно на 70% веба, и сообщал, что Palo Alto Networks обнаружила более 22,6 млн интернет-доступных экземпляров, которые могли быть уязвимы. Это оценка возможной экспозиции, а не подтверждение того, что все эти системы были уязвимы в одинаковых условиях или подверглись успешной атаке. 23
Amazon Threat Intelligence сообщила о попытке эксплуатации, замеченной 17 октября — за четыре дня до публичного раскрытия. Это важный сигнал о возможном интересе атакующих до выпуска патчей, но сам факт попытки не доказывает успешное проникновение. 4
6
Оценки масштаба атак также менялись: Sansec 22 октября написала, что массовая эксплуатация выглядит менее вероятной, чем компания ожидала в день выпуска исправлений. Поэтому сообщения о попытках, демонстрации техники и подтверждённых взломах следует различать. 10
Дополнительное предупреждение 23 октября
23 октября PHP сообщила о ещё одном, отдельном и менее вероятном пути к удалённому выполнению кода — CVE-2026-115560. Он связан с необычным сочетанием настроек и поведения приложения. До следующего обычного исправления PHP рекомендовала временно отключить session.upload_progress.enabled. При этом, согласно рекомендации, приложения, которые не меняют обработчик сериализации во время работы, могут оставить функцию включённой. 19
Что эти сообщения не доказывают
Доступные материалы подтверждают срочный выпуск исправлений, широкий потенциальный охват и сообщения о попытках эксплуатации. Они не дают надёжного основания утверждать, что произошли масштабные успешные взломы, что сайты массово отключались или что все оценки последствий уже подсчитаны.
Также в предоставленных источниках недостаточно подтверждений для ряда сопутствующих утверждений — например, о точной формулировке PHP Foundation насчёт «структурного сбоя», подробностях версии PHP-проверщика OpenAI или обещании субсидии Daybreak на 1 млрд долларов. Упоминания об инцидентах вокруг Node.js, LiteLLM и eMudhra относятся к отдельным событиям и сами по себе не показывают связь с PHP2Shell.
Практический вывод остаётся простым: проверить, где именно запущен PHP, установить доступное исправление и свериться с инструкциями поставщика. Потенциальная уязвимость требует действий, но не означает автоматически, что сервер уже взломан. 17
18
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «PHP2Shell: две критические уязвимости и гонка за экстренными патчами»?
PHP2Shell — это две уязвимости PHP, CVE 2026 109618 и CVE 2026 109619. Они могли позволить выполнить код на сервере без входа в систему; обе получили оценку 9,2 по CVSS.
Какие ключевые моменты необходимо проверить в первую очередь?
PHP2Shell — это две уязвимости PHP, CVE 2026 109618 и CVE 2026 109619. Они могли позволить выполнить код на сервере без входа в систему; обе получили оценку 9,2 по CVSS. Утечка сведений 20 октября привела к тому, что исправления выпустили 21 октября — раньше запланированной даты, 22 октября.
Что мне делать дальше на практике?
Экстренные версии PHP: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Оценка в 22,6 млн потенциально уязвимых интернет доступных экземпляров означает возможное воздействие, а не подтверждённые взломы.
Источники
in.mashable.comGoogle, AWS & Microsoft Address PHP2Shell Vulnerability That Is Affecting 70% Of Internet
cyberkendra.comPHP2Shell: Critical PHP Flaws Allow Remote Code Execution
sansec.ioPHP2Shell: PHP RCE (CVE-2026-109618, CVE-2026-109619)
infosecurity-magazine.comPHP2Shell Exploitation Attempt Detected Four Days Before Disclosure