AnswersPublished24 sources
PHP2Shell: чому критичне відкрите ПЗ потребує фінансування безпеки
PHP2Shell — це дві критичні вразливості, що могли дозволити виконувати код на сервері без автентифікації; виправлення вийшли 21 жовтня 2026 року. PHP використовують, за оцінками, на 70% вебсайтів.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- PHP2Shell — це дві критичні вразливості, що могли дозволити виконувати код на сервері без автентифікації; виправлення вийшли 21 жовтня 2026 року.
- PHP використовують, за оцінками, на 70% вебсайтів. Але це не означає, що всі вони були вразливими чи зазнали злому.[11]
- Спроби атак не є підтвердженням успішного проникнення. Інцидент також порушив питання про ресурси, потрібні для безпеки критично важливого відкритого ПЗ.[9][22]
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 2026 PHP2Shell crisis reveal about PHP security and open-source underfunding, including PHP’s use by an estimated 70%. Article summary: PHP2Shell illustrates a mismatch between the importance of widely deployed open-source software and the capacity to secure, review and update it: critical PHP flaws triggered emergency patching across a technology report. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
PHP2Shell став серйозним попередженням про безпеку широко поширеного програмного забезпечення — і про обсяг роботи, потрібної, щоб підтримувати його в безпеці. У жовтні 2026 року дві критичні вразливості змусили терміново випустити оновлення для PHP — мови програмування, яку, за повідомленнями, використовують до 70% вебсайтів.11 Інцидент загострив і ширше питання: чи мають проєкти з відкритим кодом достатньо ресурсів, щоб перевіряти, виправляти й підтримувати програмне забезпечення, від якого залежить значна частина вебу.
22
Що сталося
Вразливості CVE-2026-109618 і CVE-2026-109619 могли дозволити зловмиснику виконувати код на вразливому PHP-сервері віддалено, без входу в систему. У повідомленнях обидві отримали оцінку критичності 9,2.9
17 Йдеться про помилки в самому середовищі виконання PHP — це не свідчить про те, що кожен сайт на PHP був незахищеним.
21 жовтня 2026 року PHP опублікував виправлені версії 8.5.12, 8.4.27, 8.3.36 і 8.2.35.18
27 У звіті дослідницької компанії Calif зазначено, що вразливості виявили Calif, OpenAI та Wiz.
15 За повідомленнями, узгоджене розкриття інформації також зірвалося: супровідники PHP звинуватили Chainguard у передчасному оприлюдненні даних, після чого проєкт випустив виправлення раніше запланованого часу.
35
37
Масштаб використання PHP пояснює, чому оновлення стали терміновими. У медіа наводили оцінку — до 70% вебсайтів, однак це показник поширеності PHP, а не кількість уразливих чи зламаних сайтів.11 Наявні джерела також не підтверджують окрему заяву, ніби 23 жовтня EFF оцінила кількість систем, які залишалися вразливими, у понад 33 мільйони.
Спроба атаки — ще не підтверджений злам
За повідомленнями, Amazon виявила спробу використати вразливість 17 жовтня — до публічного випуску виправлень — і згодом описала широку активність із використання цих помилок.34 В інших матеріалах ішлося про мільйони спроб.
6 Окремо повідомлялося про превентивне вимкнення сервісів, поки організації реагували на загрозу. Серед них були ресурси, пов’язані з Міністерством фінансів Японії та портом Роттердама.
12
Однак спроба експлуатації не дорівнює підтвердженому зламу. BBC 22 жовтня повідомляла, що успішних атак на той момент не зафіксували; 23 жовтня Security Affairs також зазначало, що успішне використання вразливостей не підтверджено.9
31 Ці повідомлення могли охоплювати різні періоди або по-різному трактувати слово «експлуатація». Наведені дані свідчать про активність атакувальників, але не дають підстав стверджувати, що мільйони систем було успішно зламано.
Чому безпека відкритого ПЗ потребує ресурсів
PHP2Shell показав, наскільки важливо виявляти вразливості навіть у зрілих і давно використовуваних проєктах. Але виявлення — лише перший крок: виправлення мають пройти перевірку й бути випущені, а оператори — визначити, які системи їх потребують, і встановити оновлення. Sovereign Tech прямо назвала цей інцидент свідченням дефіциту фінансування безпеки критично важливого відкритого ПЗ.22
Отже, важливі не лише знайдені помилки, а й спроможність команд із ними впоратися. Більше знахідок може означати додаткову роботу для супровідників і фахівців із захисту. Але сама лише заявлена кількість вразливостей не доводить, що програмне забезпечення стало менш безпечним або що зростання спричинив штучний інтелект. Виявлення помилки саме по собі не забезпечує людей і часу, потрібних для перевірки результатів, узгодженого розкриття інформації та випуску й встановлення надійного виправлення.
Обережний висновок — не в тому, що PHP за своєю суттю незахищений. Радше, програмне забезпечення, яким користується значна частина вебу, потребує постійної перевірки й супроводу, а швидше виявлення вразливостей робить цю роботу ще нагальнішою.11
22
Що робити тим, хто використовує PHP
Організаціям, які запускають PHP, варто:
- Перевірити системи, доступні з інтернету. Визначити, які сервіси працюють на PHP, і зафіксувати фактичні версії середовища виконання.
- Встановити відповідне виправлення. Оновити PHP до виправленої версії для своєї гілки або скористатися підтвердженими рекомендаціями постачальника, якщо середовище оновлює чи підтримує він. PHP випустив виправлення 21 жовтня.
18
27
- Переконатися, що оновлення запущене. Перевірити версії активних сервісів і робочих процесів PHP. Опубліковані рекомендації радять після оновлення перезапустити робочі процеси PHP.
32
- Точно описувати інцидент. Розрізняти вразливі системи, спроби атак, підтверджені злами й неперевірені твердження. Превентивне вимкнення сервісу чи потік атак не доводять, що система була скомпрометована.
Довгостроковий урок PHP2Shell стосується всього ланцюга безпеки: виявлення, перевірки, узгодженого розкриття інформації, випуску виправлення та його встановлення. Фінансування супроводу цього ланцюга — частина захисту критичної інфраструктури з відкритим кодом, а не необов’язкова додаткова витрата.22
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: чому критичне відкрите ПЗ потребує фінансування безпеки"?
PHP2Shell — це дві критичні вразливості, що могли дозволити виконувати код на сервері без автентифікації; виправлення вийшли 21 жовтня 2026 року.
What are the key points to validate first?
PHP2Shell — це дві критичні вразливості, що могли дозволити виконувати код на сервері без автентифікації; виправлення вийшли 21 жовтня 2026 року. PHP використовують, за оцінками, на 70% вебсайтів. Але це не означає, що всі вони були вразливими чи зазнали злому.[11]
What should I do next in practice?
Спроби атак не є підтвердженням успішного проникнення. Інцидент також порушив питання про ресурси, потрібні для безпеки критично важливого відкритого ПЗ.[9][22]