ОтветыОпубликовано23 источники
PHP2Shell: две критические уязвимости PHP и выпущенные исправления
PHP2Shell — это две критические уязвимости PHP, CVE 2026 109618 и CVE 2026 109619. Исправления выпущены для PHP 8.2, 8.3, 8.4 и 8.5.
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- PHP2Shell — это две критические уязвимости PHP, CVE 2026 109618 и CVE 2026 109619.
- Исправления выпущены для PHP 8.2, 8.3, 8.4 и 8.5. Для более старых и неподдерживаемых веток следует проверить рекомендации поставщика ОС или дистрибутива PHP.
- Сообщения об атаках включают попытку, замеченную Amazon в ловушке приманке, но это не подтверждает взлом реального сервера.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell — общее название двух критических уязвимостей в ядре PHP: CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 — «критическая» — по CVSS v4.0 и могут позволить злоумышленнику выполнить код на уязвимом сервере без авторизации. Экстренные исправления вышли 21 октября 2026 года. 
Главное для администраторов — как можно скорее обновить PHP. Сообщения о попытках эксплуатации, в том числе наблюдение Amazon в ловушке-приманке до публичного раскрытия уязвимостей, — повод не откладывать обновление. Но сами по себе они не доказывают, что был взломан рабочий сервер. 36
Как работают уязвимости PHP2Shell
У двух уязвимостей разные описанные механизмы:
- CVE-2026-109618 связана с нехваткой памяти. При обработке ошибки out of memory PHP может прервать работу, когда внутренние данные запроса ещё не полностью подготовлены. Во время очистки система может ошибочно принять некорректные данные за действительные.
58
- CVE-2026-109619 связана с устаревшим внутренним состоянием. Согласно описаниям, данные запроса могут сохраняться после освобождения памяти, в которой они находились. Это создаёт проблему типа use-after-free — обращения к уже освобождённой памяти.
9
Уязвимости связаны с обработкой специально сформированных HTTP-запросов, в том числе запросов с multipart/form-data — форматом, который часто используют при загрузке файлов через веб-формы. 1
Что означает оценка 9,2
Для обеих уязвимостей указана оценка 9,2 из 10, «критическая», по CVSS v4.0. Один из ключевых факторов риска — возможность удалённого выполнения кода без авторизации: атакующему не нужно входить в систему, чтобы попытаться запустить код на уязвимом сервере.
В доступных материалах нет полных векторов CVSS, поэтому точно объяснить, как отдельные параметры оценки складываются в 9,2, нельзя. Важно также помнить: оценка описывает серьёзность уязвимости, а не вероятность атаки на конкретный сервер и не результат уже замеченной попытки.
Какие версии PHP затронуты и что обновить
В сообщениях указывается, что уязвимый диапазон начинается с PHP 5.4. 55 Для веток PHP 8.x выпущены следующие экстренные исправления:
| Ветка PHP | Исправленная версия |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Эти версии вышли 21 октября 2026 года. Установите исправленную версию своей ветки или более позднюю версию в той же ветке.
Перечень исправлений охватывает ветки с 8.2 по 8.5. Если система работает на более старой или неподдерживаемой ветке, проверьте рекомендации поставщика PHP или операционной системы. Не следует считать, что одна из перечисленных версий напрямую подходит для любого старого выпуска.
Попытки атак — ещё не подтверждённые взломы
Уязвимости стали публично известны 20 октября — раньше запланированного раскрытия 22 октября. Экстренные исправления PHP выпустил 21 октября. 8
42 Источники подтверждают преждевременную публикацию информации и ускоренный выпуск исправлений, но не устанавливают, что причиной стала ошибочно опубликованная демонстрация Calif.
Amazon Threat Intelligence сообщила о попытке эксплуатации PHP2Shell, зафиксированной в телеметрии ловушки-приманки MadPot 17 октября — за четыре дня до публичного раскрытия уязвимостей. В день выхода исправлений Amazon также обнаружила несколько эксплойтов для проверки концепции. Телеметрия ловушки показывает, что атака была направлена на приманку, а не подтверждает взлом реальной организации.
Cloudflare сообщила, что развернула защитные правила в период раскрытия уязвимостей; сообщения того времени также описывали трафик и попытки атак, замеченные специалистами по безопасности. 55
35 Оценки масштабов и результатов эксплуатации различались: некоторые компании сообщали об активных или массовых атаках, тогда как в других публикациях того же периода отмечалось, что госорганы не подтвердили успешных взломов.
33
36
Имеющихся сведений достаточно, чтобы серьёзно отнестись к попыткам эксплуатации, но недостаточно, чтобы считать каждую попытку успешным проникновением или утверждать, что атаки были повсеместными. При оценке рисков важно различать эти ситуации.
Что делать до установки обновления
Основная мера — установить исправленную версию PHP. По данным AWS, обновление — единственный способ полностью устранить уязвимости. Если немедленно установить его невозможно, временно снизить риск может помочь блокировка загрузки файлов через multipart-запросы. Но такая мера не заменяет обновление.
Канадский Центр кибербезопасности выпустил критическое предупреждение об уязвимостях и риске выполнения кода без авторизации. 2 В доступных источниках также говорится, что АНБ рекомендовало отключать системы, если их нельзя обновить немедленно.
27 Учитывайте рекомендации поставщика и государственных ведомств для вашей инфраструктуры — особенно если PHP включён в состав продукта или его обслуживает хостинг-провайдер.
Практический план прост: выяснить, где именно используется PHP, установить подходящее исправление и внимательно проверять сообщения о возможных атаках. Серьёзность PHP2Shell требует срочных действий, но попытка эксплуатации, работающий эксплойт и подтверждённый взлом производственной системы — не одно и то же.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «PHP2Shell: две критические уязвимости PHP и выпущенные исправления»?
PHP2Shell — это две критические уязвимости PHP, CVE 2026 109618 и CVE 2026 109619.
Какие ключевые моменты необходимо проверить в первую очередь?
PHP2Shell — это две критические уязвимости PHP, CVE 2026 109618 и CVE 2026 109619. Исправления выпущены для PHP 8.2, 8.3, 8.4 и 8.5. Для более старых и неподдерживаемых веток следует проверить рекомендации поставщика ОС или дистрибутива PHP.
Что мне делать дальше на практике?
Сообщения об атаках включают попытку, замеченную Amazon в ловушке приманке, но это не подтверждает взлом реального сервера.