AnswersPublished19 sources
PHP2Shell: дві критичні вразливості PHP та глобальна гонитва за оновленнями
PHP2Shell — це дві критичні вразливості PHP, які могли дозволити віддалено виконувати код без входу в систему. PHP, за повідомленнями, використовують близько 70% сайтів, але ця цифра не означає, що така сама частка ресурсів була вразливою чи зламаною.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- PHP2Shell — це дві критичні вразливості PHP, які могли дозволити віддалено виконувати код без входу в систему.
- PHP, за повідомленнями, використовують близько 70% сайтів, але ця цифра не означає, що така сама частка ресурсів була вразливою чи зламаною.
- «Чорний жовтень» — назва для низки інцидентів і повідомлень про кіберзагрози, а не доказ однієї скоординованої глобальної атаки.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did the AI-discovered PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619) trigger the October 2026 global cybersecurity cris. Article summary: PHP2Shell prompted a global emergency because potentially severe server-side flaws affected a widely used web technology, and their disclosure forced operators to patch or interrupt services quickly. The evidence support. Topic tags: general, general web, user generated, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts w
PHP2Shell — спільна назва двох критичних вразливостей PHP, CVE-2026-109618 і CVE-2026-109619. У жовтні 2026 року їхнє розкриття спричинило термінове оновлення систем: PHP широко використовують для роботи сайтів, а помилки могли дозволити зловмисникам виконувати код на вразливому сервері без авторизації. Водночас оцінка, що PHP працює приблизно на 70% сайтів, не є підрахунком уразливих ресурсів, а повідомлення про спроби атак не показують, скільки систем було успішно зламано. 49
22
Що могли дозволити вразливості
PHP2Shell стосувалася самого PHP, а не окремого сайту чи системи керування вмістом. Агентство кібербезпеки Сінгапуру описало одну вразливість як помилку обробки нестачі пам’яті, а іншу — як помилку типу use-after-free. Обидві могли дати віддаленому зловмиснику змогу виконувати код на вразливій системі без попереднього входу. 4
Простіше кажучи, за певних умов нападник міг змусити вразливий сервер виконувати команди, не маючи облікового запису. Дослідники оцінили серйозність вразливостей у 9,2 бала з 10. 49
Широке використання PHP — за оцінками, приблизно на 70% сайтів — пояснює масштаб занепокоєння, але не означає, що 70% сайтів були підтверджено вразливими. Реальна наявність ризику залежить від конкретних систем і версій PHP, які вони використовують. 49
14
ШІ допоміг у дослідженні, PHP випустив виправлення
За повідомленнями медіа, компанія з кібербезпеки Calif виявила одну з помилок у серпні під час аудиту, який фінансували через ініціативу OpenAI Patch the Planet; дослідники використовували GPT-5.6 Sol. Wiz Research також повідомила, що під час роботи застосовувала Wiz Atlas, Gemini 4 Argon і GPT-5.6 Sol. Це дає підстави говорити про дослідження за допомогою ШІ, але не доводить, що моделі самостійно провели весь пошук і перевірку вразливостей. 19
25
Проєкт PHP випустив виправлення 21 жовтня. За даними SecurityWeek, ідентифікатори вразливостей почали поширюватися в мережі напередодні, тож виправлення вийшли на день раніше від запланованого розкриття. 62 У повідомленнях зазначені виправлені версії: PHP 8.2.35, 8.3.36, 8.4.27 і 8.5.12.
62
Чому сайти тимчасово вимикали
Деякі організації вирішили тимчасово відключити сервіси, поки оцінювали ризик або встановлювали оновлення. BBC повідомляла про перебої на державних порталах, ігрових платформах і форумах. За даними мовника, тимчасово були недоступні сайти або сторінки уряду Фінляндії, міської ради Единбурга та BBC, а також сайт кібербезпекового агентства Нідерландів. 49
Такі відключення свідчать про операційні наслідки реагування, але самі по собі не доводять, що сайти зламали. BBC також повідомляла, що Агентство національної безпеки США радило організаціям, які не могли негайно встановити виправлення, вимкнути системи PHP. 49
Спроби експлуатації — не те саме, що підтверджені злами
За даними Nextgov, генеральний директор Cloudflare Метью Прінс повідомив про тисячі спроб експлуатації в мережі компанії за десять годин до публічного оголошення. Упродовж двох годин після нього їх стало сотні тисяч, а згодом — мільйони. 22 Це кількість спроб атак, а не підтверджених проникнень у системи.
Наявні повідомлення не дають надійної загальної цифри підтверджених зламів. Оцінки потенційно вразливих систем, автоматизовані запити, спостереження на пастках для зловмисного трафіку та успішні компрометації — різні показники. Їх не варто зводити до одного числа.
Що означає «Чорний жовтень»
«Чорний жовтень» став неофіційною назвою для низки повідомлень про вразливості та кіберінциденти в жовтні 2026 року. PHP2Shell була однією з головних тем цього періоду, але джерела не підтверджують, що всі інциденти були частинами однієї скоординованої глобальної атаки. 1
11
14
Факти свідчать про серйозне попередження щодо безпеки PHP, термінове встановлення виправлень і запобіжні відключення окремих сервісів. Вони не дають підстав трактувати частку використання PHP як частку підтверджено вразливих сайтів або кількість спроб атаки — як доказ масових зламів.
Для адміністраторів практичний висновок простий: потрібно перевірити версію самого PHP й оновити її до виправленого випуску для відповідної гілки. Вказані виправлення охоплюють PHP 8.2–8.5; оновлення сайту чи системи керування вмістом саме по собі не гарантує, що оновився і PHP на сервері. 14
62
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: дві критичні вразливості PHP та глобальна гонитва за оновленнями"?
PHP2Shell — це дві критичні вразливості PHP, які могли дозволити віддалено виконувати код без входу в систему.
What are the key points to validate first?
PHP2Shell — це дві критичні вразливості PHP, які могли дозволити віддалено виконувати код без входу в систему. PHP, за повідомленнями, використовують близько 70% сайтів, але ця цифра не означає, що така сама частка ресурсів була вразливою чи зламаною.
What should I do next in practice?
«Чорний жовтень» — назва для низки інцидентів і повідомлень про кіберзагрози, а не доказ однієї скоординованої глобальної атаки.