AnswersPublished23 sources
PHP2Shell: як витік інформації спричинив терміновий випуск оновлень
PHP випустила термінові виправлення 21 жовтня 2026 року — на день раніше від запланованого графіка після передчасного розголошення інформації. Дві вразливості могли дозволити віддалене виконання коду без входу в систему; обидві отримали оцінку 9,2 за CVSS.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- PHP випустила термінові виправлення 21 жовтня 2026 року — на день раніше від запланованого графіка після передчасного розголошення інформації.
- Дві вразливості могли дозволити віддалене виконання коду без входу в систему; обидві отримали оцінку 9,2 за CVSS.
- Повідомлялося про спробу експлуатації до публічного розкриття, але дані про спроби атак не доводять успішного злому чи масштабних компрометацій.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell — це спільна назва двох критичних вразливостей у ядрі PHP: CVE-2026-109618 і CVE-2026-109619. Вони могли дозволити зловмиснику віддалено виконувати код на сервері без автентифікації. 21 жовтня PHP випустила термінові оновлення — раніше за початково заплановану дату, 22 жовтня, після того як подробиці про вразливості стали публічними напередодні. 18
24
Як виявили вразливості
Проєкт OpenAI Patch the Planet залучає дослідників до пошуку проблем у програмному забезпеченні за допомогою моделей ШІ. За повідомленнями, компанія Calif знайшла вразливості в межах цієї ініціативи, використовуючи GPT-5.6 Sol. Wiz також виявила проблеми незалежно; у звіті про її роботу згадуються Wiz Atlas, Gemini 4 Argon і GPT-5.6 Sol. 21
Обидві вразливості отримали оцінку 9,2 за CVSS v4.0 — системою оцінювання серйозності кіберзагроз. CVE-2026-109618 пов’язана з пошкодженням пам’яті під час помилки нестачі пам’яті, а CVE-2026-109619 — із використанням застарілого глобального стану. 9
10
22
Уразливості стосувалися версій PHP від 5.4 до 8.5. Це охоплює широкий діапазон версій, зокрема старі випуски; однак наявні матеріали не дають змоги незалежно підтвердити, що проблема існувала саме близько 14 років. 1
14
Термінові виправлення та підтримка старих версій
PHP випустила виправлені версії 8.5.12, 8.4.27, 8.3.36 і 8.2.35 та закликала оновити всі установки, які обробляють вебзапити.
PHP 8.1 і старіші гілки вже не отримують регулярних оновлень безпеки від самого проєкту. Водночас деякі дистрибутиви Linux і постачальники з розширеною підтримкою можуть надавати власні виправлення. Тож організаціям зі старими системами варто перевірити оновлення у свого постачальника, а не вважати їх захищеними лише через відсутність нової версії PHP.
Витік, попередження та повідомлення про атаки
Після того як подробиці стали відомі 20 жовтня, випуск патчів перенесли з 22 на 21 жовтня. 18
24 Національне агентство безпеки США (NSA) порадило організаціям скласти перелік сервісів, що залежать від PHP, і пріоритетно встановити виправлення. CISA також закликала оновитися негайно, а Google, AWS і Microsoft оприлюднили рекомендації для своїх клієнтів.
3
17
18
У повідомленнях про цей період згадувалося, що деякі сайти тимчасово припиняли роботу, щоб установити оновлення. Це свідчить про практичні наслідки термінового патчування, але доступні матеріали не дають повної картини таких перебоїв чи їхнього масштабу.
Amazon повідомила про спробу експлуатації вразливості, зафіксовану в телеметрії її системи-«пастки» MadPot 17 жовтня — за кілька днів до публічного розкриття. Також повідомлялося про подальші спроби сканування й атак. Водночас спроба експлуатації не означає, що зловмисникам вдалося проникнути в реальний сервер. Sansec згодом зазначила, що масове використання вразливостей менш імовірне, ніж компанія припускала спочатку. 1
4
10
Оцінка Palo Alto Networks, наведена TechTarget, — понад 22,6 мільйона потенційно вразливих інтернет-доступних екземплярів. Це число описує можливу експозицію, а не підтверджені зараження. TechTarget також наводить оцінку, що PHP лежить в основі близько 70% вебу; твердження про 75% з доступних джерел тут незалежно не підтверджується. 23
Додаткове попередження та непідтверджені твердження
23 жовтня PHP повідомила про окремий, малоймовірний шлях до віддаленого виконання коду — CVE-2026-115560, можливий за незвичного поєднання налаштувань сесій. До наступного планового випуску виправлень PHP рекомендувала встановити session.upload_progress.enabled=0. За вказівкою розробників, для застосунків, які не змінюють обробник серіалізації під час роботи, таке вимкнення може бути не потрібне. 19
Матеріали підтверджують участь ШІ у виявленні вразливостей, але не дають змоги кількісно оцінити, чи більше від цього виграли захисники, чи зловмисники. Так само наявних джерел недостатньо, щоб підтвердити заяви про конкретний інструмент OpenAI для перевірки версій PHP, обіцянку субсидії Daybreak на 1 мільярд доларів або точне формулювання про «структурний провал» PHP Foundation і причини, пов’язані з ресурсами. Одне повідомлення згадує, що ознаки проблеми могли бути помічені ще у 2024 році, але не встановлює повної історії реагування. 21
Того ж тижня в новинах згадували й інші інциденти: демонстрацію вразливості Node.js, названої Node2Shell, а також проблеми навколо LiteLLM та сертифікаційного центру eMudhra. Це окремі події; надані відомості не свідчать, що вони були пов’язані з PHP2Shell.
Практичний висновок для операторів сайтів — перевірити, де саме використовується PHP, і встановити відповідне виправлення або звернутися до постачальника за патчем для старішої гілки. Потенційна вразливість — серйозний привід діяти, але сама по собі вона не є доказом успішного злому. 17
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: як витік інформації спричинив терміновий випуск оновлень"?
PHP випустила термінові виправлення 21 жовтня 2026 року — на день раніше від запланованого графіка після передчасного розголошення інформації.
What are the key points to validate first?
PHP випустила термінові виправлення 21 жовтня 2026 року — на день раніше від запланованого графіка після передчасного розголошення інформації. Дві вразливості могли дозволити віддалене виконання коду без входу в систему; обидві отримали оцінку 9,2 за CVSS.
What should I do next in practice?
Повідомлялося про спробу експлуатації до публічного розкриття, але дані про спроби атак не доводять успішного злому чи масштабних компрометацій.