ОтветыОпубликовано24 источники
PHP2Shell: критические уязвимости PHP, экстренные обновления и сообщения об атаках
PHP2Shell — это две уязвимости, CVE 2026 109618 и CVE 2026 109619, которые могут дать неавторизованному злоумышленнику возможность удалённо выполнять код. Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- PHP2Shell — это две уязвимости, CVE 2026 109618 и CVE 2026 109619, которые могут дать неавторизованному злоумышленнику возможность удалённо выполнять код.
- Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Организациям следует проверить все PHP сервисы и установить исправления или подтверждённые обновления от поставщиков.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell — общее название двух критических уязвимостей в коде PHP, обрабатывающем запросы: CVE-2026-109618 и CVE-2026-109619. Они могут позволить злоумышленнику без аутентификации выполнить код на уязвимом сервере. 21 октября 2026 года PHP выпустила экстренные исправления — после того, как сведения об уязвимостях стали публичными раньше запланированного срока. Сообщения о попытках атак сами по себе не доказывают, что злоумышленники успешно взломали системы. 4
6
15
Что делают уязвимости PHP2Shell
Обе ошибки находятся в самом PHP, а не в конкретном сайте или веб-приложении. Согласно предупреждениям специалистов по безопасности, уязвимы PHP 5.4 и более поздние версии; специально сформированный запрос может вызвать проблему в системе, которая обрабатывает веб-трафик. 8
14
Причины уязвимостей различаются. CVE-2026-109618 связана с повреждением памяти при нехватке памяти, а CVE-2026-109619 — с устаревшим глобальным состоянием. Для обеих уязвимостей указана оценка 9,2 по CVSS 4.0 — уровень Critical, то есть критический. 4
15
PHP широко используется, но предоставленные источники не позволяют надёжно определить долю всех сайтов, подверженных риску. Оценки распространённости могут считать разные категории сайтов, поэтому громкую цифру нельзя автоматически трактовать как число уязвимых ресурсов. Для администратора важнее другое: остались ли в его инфраструктуре не обновлённые установки PHP, принимающие веб-запросы. 3
14
Как уязвимости стали публичными и какие версии исправлены
Информация об уязвимостях стала публичной 20 октября — за день до выхода экстренных исправлений PHP и раньше первоначально запланированного раскрытия 22 октября. 6
7
16
В описании обстоятельств раскрытия Cloudflare упомянула Calif, Wiz, OpenAI и Quarkslab. В публикациях того времени говорилось об исследовании Calif с помощью ИИ, а также о том, что Wiz независимо обнаружила уязвимости и сообщила о них. Доступные источники не позволяют точно установить технический вклад каждого участника. 14
20
Исправления от 21 октября доступны в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. 15
16 Администраторам следует выяснить, какие версии PHP используются в рабочей среде, и установить соответствующий исправленный выпуск либо проверенное обновление от поставщика. Хостинг-провайдер может перенести исправление безопасности в свой пакет, не меняя номер базовой версии. Поэтому, если отображаемая версия выглядит устаревшей, стоит свериться с уведомлением провайдера.
1
Что известно о попытках эксплуатации
21 октября специалисты по безопасности сообщали о попытках атак с использованием этих уязвимостей. Cloudflare заявила, что наблюдала соответствующий трафик, а SecurityWeek сообщила, что несколько компаний в сфере кибербезопасности зафиксировали попытки до выхода исправлений PHP. 14
15
Данные не давали однозначного ответа на вопрос, привели ли эти попытки к успешным взломам. В более позднем обзоре сообщений от 21 октября говорилось, что CISA и Канадский центр кибербезопасности на тот момент не наблюдали и не выявляли эксплуатацию, тогда как компании по кибербезопасности сообщали о попытках атак. Это разные утверждения: запрос, похожий на атаку, не доказывает успешного проникновения, а отсутствие наблюдений со стороны ведомства не доказывает, что взломов не было. 25
Что делать администраторам
АНБ США рекомендовало организациям в первую очередь устанавливать исправления поставщиков и составить перечень аппаратных и программных сервисов, использующих уязвимые версии PHP. 17 Также сообщалось, что CISA призывает незамедлительно установить обновления.
20 Если затронутый сервис нельзя быстро исправить, публикации описывали рекомендацию временно отключить его, а не оставлять доступным извне.
7
21
Cloudflare сообщила, что с 03:02 UTC 21 октября для клиентов её WAF — межсетевого экрана веб-приложений — на бесплатных и платных тарифах по умолчанию действовала защита от PHP2Shell. 14 Такая фильтрация может стать дополнительным уровнем защиты, но не заменяет обновление PHP. Наличие правила WAF не означает, что уязвимость на самом сервере устранена.
14
17
Инцидент потребовал проверок не только обычных PHP-серверов. Help Net Security сообщила, что Palo Alto Networks назвала уязвимыми все версии PAN-OS и Panorama и на момент публикации ещё не выпустила исправления. 33 Уязвимость и способы защиты зависят от конкретного продукта, поэтому владельцам сетевого оборудования и управляемых платформ следует руководствоваться уведомлениями его производителя, а не считать, что обновление пакета PHP решит проблему и в этих продуктах.
Главное
К PHP2Shell следует отнестись как к срочной задаче по установке исправлений: составить перечень PHP-сервисов, обновить их до исправленной версии или подтвердить у поставщика наличие перенесённого исправления. Временное отключение сервиса или фильтрация трафика могут помочь переждать период до обновления, но не должны становиться постоянной заменой патчу. Сообщения от 21 октября дают основания серьёзно отнестись к риску попыток атак, однако не позволяют считать каждую такую попытку подтверждённым взломом. 1
15
17
25
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «PHP2Shell: критические уязвимости PHP, экстренные обновления и сообщения об атаках»?
PHP2Shell — это две уязвимости, CVE 2026 109618 и CVE 2026 109619, которые могут дать неавторизованному злоумышленнику возможность удалённо выполнять код.
Какие ключевые моменты необходимо проверить в первую очередь?
PHP2Shell — это две уязвимости, CVE 2026 109618 и CVE 2026 109619, которые могут дать неавторизованному злоумышленнику возможность удалённо выполнять код. Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Организациям следует проверить все PHP сервисы и установить исправления или подтверждённые обновления от поставщиков.
Источники
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...