AnswersPublished33 sources
PHP2Shell: дві критичні вразливості PHP та кроки для захисту
PHP2Shell — це дві критичні вразливості керування пам’яттю в PHP, які за певних умов можуть дозволити віддалене виконання коду без автентифікації. Оновіть PHP, що обслуговує вебзапити, або встановіть виправлення від постачальника продукту, а потім перевірте, що сервіс справді працює на захищеній версії.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- PHP2Shell — це дві критичні вразливості керування пам’яттю в PHP, які за певних умов можуть дозволити віддалене виконання коду без автентифікації.
- Оновіть PHP, що обслуговує вебзапити, або встановіть виправлення від постачальника продукту, а потім перевірте, що сервіс справді працює на захищеній версії.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, how do they enable unauthenticated remote code execution in PHP—. Article summary: PHP2Shell is the name given to two critical PHP memory-safety vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution under suitable conditions; researchers rated them . Topic tags: general, general web, government, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with
PHP2Shell — назва двох критичних вразливостей у середовищі виконання PHP: CVE-2026-109618 і CVE-2026-109619. За певних умов вони можуть дозволити зловмиснику без автентифікації виконувати код на сервері. 21 жовтня 2026 року PHP випустила виправлення у версіях 8.2.35, 8.3.36, 8.4.27 і 8.5.12.5
36 Для адміністраторів головне — оновити саме те середовище PHP, яке обслуговує вебзапити, або встановити виправлення від постачальника продукту й перевірити, що воно набуло чинності.
У чому полягають дві вразливості
Обидві проблеми пов’язані з безпекою пам’яті в самому PHP, а не з помилкою в коді конкретного сайту. За описом дослідників, певні операції середовища виконання можуть призвести до використання пам’яті після її звільнення.6
9
- CVE-2026-109618 пов’язана з обробкою прогресу завантаження файлів у PHP. За даними Wiz, вона може розкрити дані з пам’яті процесу PHP, а за продемонстрованих умов — сприяти пошкодженню пам’яті та виконанню коду.
6
- CVE-2026-109619 стосується роботи з пам’яттю під час формування трасування стека після критичної помилки та взаємодії з OPcache. В описі PHP згадується застарілий внутрішній стан, яким може скористатися наступний запит, оброблений тим самим робочим процесом.
36
У наведених повідомленнях обидві вразливості мають оцінку 9,2 за шкалою CVSS.2
37 Wiz зазначає, що PHP використовують приблизно 70% інтернету. Це оцінка поширеності технології, а не свідчення того, що 70% сайтів однаково вразливі або вже скомпрометовані.
6
Які версії PHP уразливі та які виправлення доступні
У повідомленнях уразливий діапазон визначають як PHP від версії 5.4 до 8.5.11.56 PHP випустила виправлені версії 8.2.35, 8.3.36, 8.4.27 і 8.5.12.
36 Якщо система працює на старішій або вже не підтримуваній версії, уточніть у дистрибутора PHP чи постачальника продукту, чи є підтримуване оновлення або виправлення, перенесене на стару гілку. Не варто припускати, що стандартне оновлення PHP буде доступне.
17
54
Оновити лише окремий пакет PHP може бути недостатньо, якщо сайт чи пристрій використовує вбудоване середовище виконання. З’ясуйте, яка саме інсталяція PHP обробляє вебзапити, і виконуйте вказівки постачальника для продуктів, до складу яких входить PHP.5
54
У відкритті допомогли AI-інструменти, але хронологія різниться
У дослідженні згадуються Calif, OpenAI та Wiz; у повідомленнях про відкриття також ідеться про допомогу моделей штучного інтелекту.4
16 Водночас джерела по-різному описують, коли почалася робота: USA Today повідомляє про перше виявлення Calif у липні та незалежне виявлення Wiz у серпні, тоді як The Register пише про дослідження в період із серпня до вересня.
4
47 Інші матеріали згадують моделі Google, але наявні дані не визначають точний внесок кожної моделі й не показують, яка частина роботи була автономною.
50
Це важливе розрізнення: джерела підтверджують дослідження за допомогою AI, але не твердження, що система штучного інтелекту самостійно знайшла, перевірила й виправила обидві вразливості. У повідомленнях про виявлення та реагування брали участь дослідники й розробники PHP.4
16
Що означає згадка про PAN-OS
Palo Alto Networks опублікувала повідомлення про вплив обох вразливостей PHP на свої продукти; серед перелічених сімейств є PAN-OS.34
35 Сам факт цього повідомлення не доводить, що кожна інсталяція PAN-OS має той самий шлях атаки, що й PHP-вебсервер: усе залежить від конфігурації продукту та виправлень постачальника.
Адміністраторам варто перевірити актуальне повідомлення Palo Alto Networks для конкретного продукту й версії програмного забезпечення та виконувати рекомендації компанії. Не покладайтеся на сторонні таблиці з датами випуску виправлень як на підтвердження їхньої доступності: один із поширюваних трекерів прямо позначений як згенерований AI й містить застереження перевіряти дані.21
Спроби атак не дорівнюють підтвердженим зламам
За даними компаній, що відстежують загрози, спробу експлуатації зафіксували 17 жовтня — до публічного технічного розкриття інформації та випуску виправлень PHP 21 жовтня.53 Як повідомляє Nextgov, згодом Cloudflare фіксувала зростання трафіку від тисяч спроб до мільйонів.
22 Ці числа описують спроби атак, а не кількість успішно захоплених серверів.
Повідомлення про успішні атаки різнилися. 22 жовтня BBC писала, що на той момент підтверджених успішних експлуатацій не повідомляли.18 Пізніше Unit 42 від Palo Alto Networks заявила, що не може підтвердити зв’язок активності, яку спочатку пов’язала з PHP2Shell, саме з цими CVE, і відкликала попереднє оновлення.
30 За наявними тут даними, про спроби експлуатації повідомляли, однак наявність підтверджених зламів, спричинених саме PHP2Shell, залишається невизначеною.
Повідомлялося, що урядові установи й компанії тимчасово вимикали деякі онлайн-сервіси, поки готували або встановлювали виправлення.26
51 Таке превентивне вимкнення саме по собі не свідчить про злам.
Що робити організаціям і власникам сайтів
- Знайдіть усі середовища PHP. Перевірте сайти, сервери застосунків, контейнери, хостингові середовища й пристрої. Попросіть хостинг-провайдера або керованого постачальника послуг підтвердити версію PHP та наявність потрібного виправлення.
- Встановіть перевірене оновлення. Використовуйте виправлений реліз PHP або пакет від постачальника, до якого внесено потрібні зміни. Для пристроїв та іншого ПЗ із вбудованим PHP дотримуйтеся інструкцій виробника.
17
54
- Перевірте саме робочий сервіс. Переконайтеся, що оновлено вебсередовище PHP, а не лише окрему інсталяцію для командного рядка. Перевірте, що потрібні служби та робочі процеси запущені на виправленій версії.
53
- Зменште ризик, якщо не можете швидко встановити виправлення. NSA радить насамперед застосовувати виправлення від постачальників, а якщо негайне оновлення неможливе — тимчасово вимкнути систему.
25
- Розділяйте встановлення виправлення й розслідування інциденту. Оновлення закриває вразливість, але не доводить, що до цього не було вторгнення. Якщо є підстави підозрювати компрометацію, перевірте журнали й активність системи.
Якщо ви володієте сайтом, але не адмініструєте сервер, зверніться до хостинг-провайдера або адміністратора й запитайте, чи оновлено PHP. Не встановлюйте виправлення з неочікуваних повідомлень — користуйтеся офіційними інструкціями провайдера.
Важливо розрізняти три речі: система може бути вразливою, зловмисник може спробувати скористатися вразливістю, а система може бути скомпрометована. Це різні твердження. Оновіть уразливе середовище PHP, уточніть у постачальника статус продуктів на кшталт PAN-OS і окремо перевірте можливе вторгнення.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: дві критичні вразливості PHP та кроки для захисту"?
PHP2Shell — це дві критичні вразливості керування пам’яттю в PHP, які за певних умов можуть дозволити віддалене виконання коду без автентифікації.
What are the key points to validate first?
PHP2Shell — це дві критичні вразливості керування пам’яттю в PHP, які за певних умов можуть дозволити віддалене виконання коду без автентифікації. Оновіть PHP, що обслуговує вебзапити, або встановіть виправлення від постачальника продукту, а потім перевірте, що сервіс справді працює на захищеній версії.