ОтветыОпубликовано33 источники
PHP2Shell: что известно об уязвимостях PHP и как обновить систему
PHP2Shell — это две критические уязвимости в самой среде PHP. При определённых условиях злоумышленник может выполнить код на сервере без авторизации.
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- PHP2Shell — это две критические уязвимости в самой среде PHP. При определённых условиях злоумышленник может выполнить код на сервере без авторизации.
- Обновите веб версию PHP до исправленного выпуска или установите патч производителя продукта, а затем проверьте, что обновление действительно работает.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, how do they enable unauthenticated remote code execution in PHP—. Article summary: PHP2Shell is the name given to two critical PHP memory-safety vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution under suitable conditions; researchers rated them . Topic tags: general, general web, government, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
PHP2Shell — общее название двух критических уязвимостей в среде выполнения PHP: CVE-2026-109618 и CVE-2026-109619. При определённых условиях они могут позволить злоумышленнику без авторизации выполнять код на сервере. 21 октября 2026 года PHP выпустил исправления для версий 8.2.35, 8.3.36, 8.4.27 и 8.5.12.5
36 Администраторам важно обновить именно ту среду PHP, которая обрабатывает веб-запросы, либо установить исправление от производителя продукта — и убедиться, что оно вступило в силу.
В чём суть уязвимостей
Обе ошибки связаны с безопасностью работы с памятью в самом PHP, а не с конкретным сайтом или его прикладным кодом. Исследователи описывают сценарии, в которых операции среды PHP могут обращаться к уже освобождённой или устаревшей памяти.6
9
- CVE-2026-109618 связана с обработкой прогресса загрузки файлов и ошибкой типа use-after-free — использованием памяти после её освобождения. По данным Wiz, ошибка может раскрыть содержимое памяти рабочего процесса PHP и при продемонстрированных условиях привести к повреждению памяти и выполнению кода.
6
- CVE-2026-109619 затрагивает обработку стеков вызовов при фатальных ошибках и OPcache. Согласно описанию PHP, внутреннее состояние может устареть и быть использовано последующим запросом, попавшим в тот же рабочий процесс.
36
В цитируемых материалах уязвимостям присвоена оценка 9,2 по шкале CVSS.2
37 Wiz отмечает, что PHP используется примерно на 70% интернета. Это оценка распространённости технологии, а не свидетельство, что 70% сайтов уязвимы одинаковым образом или уже взломаны.
6
Какие версии PHP затронуты и где взять исправление
В публикациях уязвимый диапазон указан как PHP 5.4–8.5.11.56 Исправления PHP вошли в версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
36 Если у вас установлена более старая или неподдерживаемая версия, уточните у дистрибутива PHP или производителя продукта, доступно ли поддерживаемое обновление либо исправление, перенесённое в пакет для старой версии. Не стоит считать, что для любой устаревшей системы можно просто установить обычное обновление PHP.
17
54
Обновления одного системного пакета может быть недостаточно, если сайт или устройство использует отдельную встроенную среду PHP. Выясните, какая установка обрабатывает веб-запросы, а для продуктов со встроенным PHP следуйте инструкциям производителя.5
54
ИИ помогал в исследовании, но даты расходятся
В исследовании уязвимостей участвовали Calif, OpenAI и Wiz; сообщения о процессе поиска указывают на помощь моделей ИИ.4
16 Однако источники по-разному описывают сроки. USA Today пишет о первоначальном обнаружении Calif в июле и независимом обнаружении Wiz в августе. The Register относит работу исследователей к периоду с августа по сентябрь.
4
47 В других публикациях также упоминаются модели Google, но имеющиеся сведения не позволяют точно определить вклад каждой модели или долю работы, выполненной автономно.
50
Это различие важно: источники подтверждают исследование с участием ИИ, но не утверждение, будто система ИИ самостоятельно нашла, проверила и исправила обе уязвимости. В описании обнаружения и устранения ошибок фигурируют люди — исследователи и сопровождающие PHP.4
16
Что известно о связи с PAN-OS
Palo Alto Networks опубликовала уведомление о влиянии обеих уязвимостей PHP на свои продукты; среди перечисленных продуктовых линеек есть PAN-OS.34
35 Сам факт публикации не означает, что каждая установка PAN-OS уязвима по тому же сценарию, что и веб-сервер с PHP: всё зависит от конкретного продукта, конфигурации и исправлений производителя.
Проверьте актуальное уведомление Palo Alto Networks для вашей версии продукта и следуйте инструкциям компании. Не считайте сроки выпуска сторонних исправлений подтверждёнными: один из распространяемых списков прямо помечен как созданный ИИ и предупреждает, что данные необходимо перепроверять.21
Попытки атак — не то же самое, что подтверждённый взлом
Согласно данным Threat Intelligence, одна из попыток эксплуатации была зафиксирована 17 октября — до публичного раскрытия технических деталей и выпуска исправлений PHP 21 октября.53 Позднее объём трафика, который Cloudflare связала с попытками атак, вырос от тысяч до миллионов, пишет Nextgov.
22 Речь идёт о попытках, а не о числе успешных захватов серверов.
Сообщения об успешной эксплуатации расходились. BBC писала 22 октября, что на тот момент сведений об успешных атаках не поступало.18 Позднее подразделение Unit 42 компании Palo Alto Networks заявило, что не может подтвердить связь обнаруженной активности с этими конкретными CVE, и отозвало своё предыдущее обновление.
30 По имеющимся данным, попытки эксплуатации сообщались, но факт успешных взломов, которые можно уверенно связать с PHP2Shell, остаётся неясным.
Сообщалось, что некоторые государственные организации и компании временно отключали онлайн-сервисы, пока готовились установить исправления.26
51 Такие меры предосторожности сами по себе не означают, что организации были взломаны.
Что делать владельцам сайтов и организациям
- Найдите все установки PHP. Проверьте сайты, серверы приложений, контейнеры, хостинг-среды и устройства. Попросите провайдера или поставщика управляемых услуг подтвердить, какая версия используется и какое исправление применено.
- Установите проверенное обновление. Используйте исправленный выпуск PHP или пакет от производителя, содержащий нужные изменения. Для устройств и программ со встроенным PHP следуйте инструкциям их поставщика.
17
54
- Проверьте работающий веб-сервис. Убедитесь, что обновлена именно среда, обслуживающая веб-запросы, а не только отдельная установка PHP для командной строки. Проверьте, что необходимые процессы или службы работают на исправленной версии.
- Сократите риск, если обновить систему сразу нельзя. NSA рекомендует в первую очередь устанавливать исправления производителя; если обновление невозможно выполнить оперативно, ведомство советует отключить систему от сети.
25
- Не подменяйте расследование обновлением. Патч закрывает уязвимость, но сам по себе не показывает, была ли попытка проникновения раньше. Если есть основания подозревать взлом, отдельно проверьте журналы и активность системы.
Если вы владелец сайта, но не управляете сервером, свяжитесь с хостинг-провайдером или администратором и спросите, обновлена ли среда PHP. Не устанавливайте исправления из неожиданных писем и сообщений — пользуйтесь только официальными инструкциями провайдера.
Главное — различать три ситуации: система может быть уязвима, злоумышленники могут пытаться использовать ошибку, а сама система может быть взломана. Это разные утверждения. Обновите PHP, уточните у производителя статус исправлений для таких продуктов, как PAN-OS, и отдельно разберитесь с возможным проникновением.
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «PHP2Shell: что известно об уязвимостях PHP и как обновить систему»?
PHP2Shell — это две критические уязвимости в самой среде PHP. При определённых условиях злоумышленник может выполнить код на сервере без авторизации.
Какие ключевые моменты необходимо проверить в первую очередь?
PHP2Shell — это две критические уязвимости в самой среде PHP. При определённых условиях злоумышленник может выполнить код на сервере без авторизации. Обновите веб версию PHP до исправленного выпуска или установите патч производителя продукта, а затем проверьте, что обновление действительно работает.