ОтветыОпубликовано22 источники
PHP2Shell: критические уязвимости PHP, исправления и попытки эксплуатации
PHP2Shell — это две уязвимости в PHP, которые могли дать злоумышленнику возможность выполнять код на сервере без аутентификации; обе получили оценку 9,2 по CVSS v4.0. Исправления вышли 21 октября 2026 года — раньше запланированного раскрытия, после того как идентификаторы CVE появились в сети.
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- PHP2Shell — это две уязвимости в PHP, которые могли дать злоумышленнику возможность выполнять код на сервере без аутентификации; обе получили оценку 9,2 по CVSS v4.0.
- Исправления вышли 21 октября 2026 года — раньше запланированного раскрытия, после того как идентификаторы CVE появились в сети.
- Сообщения об атаках подтверждают попытки эксплуатации, но сами по себе не доказывают, что злоумышленникам удалось взломать уязвимые серверы.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell — общее название двух критических уязвимостей в PHP: CVE-2026-109618 и CVE-2026-109619. Каждая получила оценку 9,2 из 10 по шкале CVSS v4.0. Ошибки могли позволить злоумышленнику без учётной записи удалённо выполнять код на уязвимом сервере. Исправления PHP выпустил 21 октября 2026 года, после того как сведения об уязвимостях появились раньше запланированного раскрытия. Вскоре стали поступать сообщения о попытках атак, однако попытка эксплуатации не означает, что взлом удался. 1
3
14
В чём заключаются уязвимости
Проблемы связаны с обработкой запросов и управлением памятью в самом PHP, а не с конкретной системой управления сайтом или веб-фреймворком. CVE-2026-109618 затрагивает обработку нехватки памяти, а CVE-2026-109619 — устаревшее внутреннее состояние. В обоих случаях заявленный риск — удалённое выполнение кода без аутентификации. 1
14
Поэтому значение имеет версия PHP, даже если в коде самого сайта не обнаружено ошибок. Операционные рекомендации указывают, что внимания требуют PHP-установки, обслуживающие веб-запросы. 55
Какие версии PHP исправлены
21 октября 2026 года PHP опубликовал исправленные версии: 14
55
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Если сервер работает на более ранней версии одной из этих веток, его следует обновить до соответствующего исправленного выпуска. Изначально раскрытие ожидалось 22 октября, но сведения об уязвимостях появились раньше, и исправления выпустили досрочно. 3
13
33
Как сведения об уязвимостях появились в сети
20 октября в Hacker News опубликовали сообщение с идентификаторами обеих уязвимостей и утверждением, что подробности должны раскрыть 22 октября. Публикацию удалили, но её скриншоты разошлись по соцсетям. Позднее исследователи сообщили, что утечка была реальной, а сведения находились под эмбарго — то есть их раскрытие было согласовано на более поздний срок. 3
По сообщениям СМИ, одну из уязвимостей обнаружила компания Calif при помощи модели OpenAI. Wiz также независимо обнаружила и сообщила об уязвимостях в рамках согласованного раскрытия. Доступные публикации не подтверждают, что ошибки существовали около 20 лет, и не позволяют уверенно соотнести каждую CVE с конкретной командой исследователей. 27
33
Отключения сайтов и рекомендации ведомств
Некоторые организации временно отключили сервисы в качестве меры предосторожности. В сообщениях упоминались ресурсы, связанные с Министерством финансов Японии, американской платформой BambooHR, портом Роттердама и Wikimedia. Сам факт временного отключения не доказывает, что эти организации подверглись взлому. 19
Агентство США по кибербезопасности и защите инфраструктуры (CISA) призвало организации, использующие сайты на PHP, немедленно установить исправления. 33 В доступных материалах нет достоверного общего подсчёта превентивных отключений, а также подтверждения всех утверждений об отключениях больниц, школ и государственных служб.
Что известно о попытках атак
Данные компаний и ведомств описывают активность как до публичного раскрытия, так и после него:
- Amazon сообщила, что её ловушка-приманка MadPot зафиксировала попытку эксплуатации 17 октября — до выхода исправлений 21 октября. Это свидетельство попытки, направленной на конкретный сенсор, а не доказательство успешного взлома других систем.
50
58
- Cloudflare сообщила о тысячах попыток в своей сети за десять часов до публичного объявления и о миллионах после него. Эти цифры отражают замеченные попытки, а не число подтверждённых взломов.
36
- На момент своего предупреждения CISA заявляло, что не наблюдало эксплуатации. Это оценка ведомства на тот момент и по доступным ему данным; она не отменяет сообщений компаний безопасности, использующих другие источники телеметрии.
- Sophos исправила первоначальное сообщение об успешной эксплуатации в средах клиентов. По уточнённым данным компании, наблюдались сканирование и небольшое число неудачных попыток; на момент обновления подтверждений успешного взлома в её средах не было.
7
В совокупности эти данные объясняют, почему PHP2Shell сочли срочной проблемой: попытки атак фиксировались, а потенциальные последствия были серьёзными. Но они не доказывают, что каждая попытка увенчалась успехом, и не дают надёжной общей оценки числа скомпрометированных систем.
Чего имеющиеся данные не подтверждают
Доступные публикации не дают достоверного числа уязвимых серверов, доступных из интернета; не подтверждают, что ошибки существовали около 20 лет; и не устанавливают, что злоумышленники применяли ИИ для разработки эксплойтов PHP2Shell. ИИ фигурирует в сообщениях об обнаружении уязвимости исследователями, но это не свидетельство того, как её нашли или использовали атакующие. 27
33
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «PHP2Shell: критические уязвимости PHP, исправления и попытки эксплуатации»?
PHP2Shell — это две уязвимости в PHP, которые могли дать злоумышленнику возможность выполнять код на сервере без аутентификации; обе получили оценку 9,2 по CVSS v4.0.
Какие ключевые моменты необходимо проверить в первую очередь?
PHP2Shell — это две уязвимости в PHP, которые могли дать злоумышленнику возможность выполнять код на сервере без аутентификации; обе получили оценку 9,2 по CVSS v4.0. Исправления вышли 21 октября 2026 года — раньше запланированного раскрытия, после того как идентификаторы CVE появились в сети.
Что мне делать дальше на практике?
Сообщения об атаках подтверждают попытки эксплуатации, но сами по себе не доказывают, что злоумышленникам удалось взломать уязвимые серверы.