ОтветыОпубликовано17 источники
PHP2Shell: что нужно знать об уязвимостях PHP и как защитить сервер
PHP2Shell — общее название двух критических уязвимостей PHP: CVE 2026 109618 и CVE 2026 109619. Поскольку PHP используется на сайтах и в онлайн сервисах, в том числе созданных на WordPress, Drupal и Joomla, организациям важно проверить именно установленную среду PHP, а не только обновить платформу сайта.
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- PHP2Shell — общее название двух критических уязвимостей PHP: CVE 2026 109618 и CVE 2026 109619.
- Поскольку PHP используется на сайтах и в онлайн сервисах, в том числе созданных на WordPress, Drupal и Joomla, организациям важно проверить именно установленную среду PHP, а не только обновить платформу сайта.
- Разработчики PHP выпустили исправления 21 октября 2026 года. На следующий день глава Агентства кибербезопасности Сингапура (CSA) Гвенда Фонг призвала организации не откладывать обновление.
- Обновление закрывает уязвимость, но само по себе не показывает, успел ли кто то воспользоваться ею.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the two critical PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619), how can attackers exploit them without login cred. Article summary: PHP2Shell is the collective name for two critical PHP runtime vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can enable remote code execution without authentication. [7][8] PHP maintainers released emergency . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell — название двух критических уязвимостей в среде выполнения PHP: CVE-2026-109618 и CVE-2026-109619. Они могут привести к удалённому выполнению кода без аутентификации: злоумышленнику не обязательно сначала входить в систему. Разработчики PHP выпустили исправления 21 октября 2026 года, а на следующий день комиссар Агентства кибербезопасности Сингапура (CSA) Гвенда Фонг призвала организации действовать без промедления. 5
6
Главное в двух словах
- Проблема связана с самим PHP, а не только с отдельной системой управления сайтом или конструктором.
5
24
- Запуск кода без входа в систему может иметь серьёзные последствия: злоумышленник может получить контроль над веб-сервером, добраться до данных или нарушить работу сервиса.
- Уязвимость не означает, что сервер уже взломан. Организациям нужно установить исправления и отдельно выяснить, не было ли подозрительного доступа. CSA опубликовало рекомендации по поиску уязвимых установок PHP и выявлению возможных попыток эксплуатации.
Что именно известно об уязвимостях PHP2Shell
Уязвимости связаны с тем, как PHP управляет памятью и состоянием запросов. Согласно техническому описанию, CVE-2026-109618 затрагивает обработку нехватки памяти: из-за ошибки состояние запроса может стать некорректным. CVE-2026-109619 связана с использованием глобального состояния запроса после освобождения занимаемой им памяти. Такие сбои могут открыть путь к удалённому выполнению кода. 1
На практике это означает, что уязвимый PHP-сервис может обработать специально сформированный запрос без проверки, вошёл ли отправитель в систему. Если атака удастся, код будет выполняться с правами, доступными затронутому сервису; возможный ущерб зависит от его настроек и уровня доступа. В сообщениях о предупреждении CSA говорится о риске захвата веб-серверов, кражи данных и нарушения работы сервисов. 11
24
Почему предупреждение затрагивает не только разработчиков сайтов
PHP широко используется для работы сайтов и онлайн-сервисов, включая сайты на WordPress, Drupal и Joomla. Поэтому проверять нужно не только версию самой платформы: важно выяснить, какая среда PHP фактически обслуживает сайт или приложение. 9
24
Фонг призвала организации к срочным действиям 22 октября — на следующий день после выхода исправлений PHP. CSA также предупреждало, что компании, особенно небольшие, могут не знать, что их системы затронуты. Но возможная уязвимость не равна подтверждённому взлому: наличие риска само по себе не доказывает, что злоумышленник уже получил доступ. 6
9
CSA сообщило, что координирует ускоренное обновление систем с государственными ведомствами, владельцами объектов критической информационной инфраструктуры, крупными компаниями и отраслевыми партнёрами. Для поддержки небольших организаций агентство взаимодействует с бизнес-ассоциациями, поставщиками услуг кибербезопасности и технологическими партнёрами. 27
Что делать организациям
- Найдите все установки PHP. Составьте перечень сред PHP, которые обслуживают сайты, приложения и онлайн-сервисы. Включите в него системы, которыми управляют разработчик сайта или хостинг-провайдер. В предупреждении CSA есть рекомендации по выявлению уязвимых установок.
- В первую очередь обновите системы, доступные из интернета. Установите исправление, подходящее для используемой ветки PHP и вашей среды размещения. Уточните у поставщика или хостинг-провайдера, что обновлена именно работающая среда PHP, а не только программное обеспечение сайта. Исправления вышли 21 октября.
6
- Отдельно проверьте возможные признаки атаки. Установка обновления снижает дальнейший риск, но не показывает, успел ли злоумышленник получить доступ до исправления. Проверьте доступные журналы безопасности и следуйте рекомендациям CSA по мониторингу возможных компрометаций.
- Если не можете подтвердить статус системы, обратитесь за помощью. Попросите ИТ-специалистов, разработчика сайта или хостинг-провайдера уточнить, какая версия PHP работает, установлено ли исправление и есть ли признаки взлома. Небольшим организациям, использующим внешние услуги, может понадобиться помощь провайдера, чтобы обнаружить системы, которыми они не управляют напрямую.
27
- Изучите техническое предупреждение CSA. В уведомлении SingCERT «Critical Vulnerabilities in PHP (PHP2Shell)» приведены дополнительные рекомендации для владельцев сайтов, поставщиков услуг, системных администраторов и специалистов по безопасности.
Главная задача — определить, какие PHP-сервисы доступны извне, и установить для них подходящие исправления. Если система оставалась уязвимой до обновления, проверку на возможный взлом нужно проводить отдельно: само обновление этого не выясняет. 5
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «PHP2Shell: что нужно знать об уязвимостях PHP и как защитить сервер»?
PHP2Shell — общее название двух критических уязвимостей PHP: CVE 2026 109618 и CVE 2026 109619.
Какие ключевые моменты необходимо проверить в первую очередь?
PHP2Shell — общее название двух критических уязвимостей PHP: CVE 2026 109618 и CVE 2026 109619. Поскольку PHP используется на сайтах и в онлайн сервисах, в том числе созданных на WordPress, Drupal и Joomla, организациям важно проверить именно установленную среду PHP, а не только обновить платформу сайта.
Что мне делать дальше на практике?
Разработчики PHP выпустили исправления 21 октября 2026 года. На следующий день глава Агентства кибербезопасности Сингапура (CSA) Гвенда Фонг призвала организации не откладывать обновление.
Источники