AnswersPublished22 sources
PHP2Shell: критичні вразливості PHP і доступні виправлення
PHP2Shell — це дві вразливості PHP із рейтингом 9,2 за CVSS v4.0, які можуть дозволити віддалено виконувати код без автентифікації. Виправлення вийшли 21 жовтня 2026 року — раніше запланованого терміну, після того як ідентифікатори CVE з’явилися в мережі.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- PHP2Shell — це дві вразливості PHP із рейтингом 9,2 за CVSS v4.0, які можуть дозволити віддалено виконувати код без автентифікації.
- Виправлення вийшли 21 жовтня 2026 року — раніше запланованого терміну, після того як ідентифікатори CVE з’явилися в мережі.
- Повідомлення Amazon і Cloudflare свідчать про спроби експлуатації, але самі по собі не доводять успішного зламу кожного атакованого сервера.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell — назва двох критичних вразливостей у PHP: CVE-2026-109618 і CVE-2026-109619. Обидві отримали оцінку 9,2 за CVSS v4.0 і потенційно дають змогу зловмиснику без автентифікації віддалено виконувати код на вразливому сервері. PHP випустила виправлення 21 жовтня 2026 року — після того, як інформація про вразливості з’явилася до запланованого розкриття. Невдовзі надійшли повідомлення про спроби атак, однак спроба не є доказом успішного зламу. 1
3
14
У чому полягають вразливості PHP2Shell
Проблеми пов’язані з обробкою запитів і керуванням пам’яттю в самому PHP, а не з конкретною системою керування сайтом чи вебфреймворком. CVE-2026-109618 стосується обробки помилки вичерпання пам’яті, а CVE-2026-109619 — застарілого внутрішнього стану. Заявлений ризик для обох — віддалене виконання коду без автентифікації. 1
14
Тому важливо перевірити саме версію PHP, навіть якщо у власному коді сайту не відомо про вразливості. В оперативних рекомендаціях PHP зазначено, що уваги потребують інсталяції, які обслуговують вебзапити. 55
Які версії PHP містять виправлення
PHP опублікувала виправлені версії 21 жовтня 2026 року:
Якщо система працює на ранішій версії однієї з цих гілок, її слід оновити до відповідного випуску з виправленням. Інформація про вразливості з’явилася в мережі раніше за очікуване розкриття, тож реліз виправлень прискорили. 3
13
33
Як витекли ідентифікатори CVE
20 жовтня допис на Hacker News назвав обидва ідентифікатори вразливостей і повідомив, що їх мали розкрити 22 жовтня. Допис видалили, але його скриншоти вже поширилися. Згодом фахівці з кібербезпеки підтвердили, що інформація була справжньою, а вразливості мали залишатися під ембарго до оголошення. 3
У повідомленнях про пошук вразливостей згадували Calif, яка, за даними публікацій, виявила одну з проблем за допомогою моделі OpenAI. Також у матеріалах про скоординоване реагування йдеться, що Wiz незалежно виявила й повідомила про вразливості. Наявні джерела не підтверджують, що помилки існували близько 20 років, і не дають змоги однозначно пов’язати кожну CVE з конкретною командою дослідників. 27
33
Сайти тимчасово вимикали, щоб знизити ризик
Деякі організації тимчасово зупинили роботу сервісів із запобіжних міркувань, поки розбиралися з ризиком. У повідомленнях згадували сервіси, пов’язані з Міністерством фінансів Японії, американською платформою BambooHR, портом Роттердама та Wikimedia. Сам факт тимчасового вимкнення не доводить, що ці організації зазнали зламу. 19
Агентство США з кібербезпеки та безпеки інфраструктури (CISA) закликало організації, які використовують PHP на вебсайтах, негайно встановити виправлення. 33 Наявні матеріали не містять достовірного повного підрахунку вимкнених сервісів і не підтверджують усіх повідомлень про лікарні, школи та державні установи, яких це нібито торкнулося.
Що відомо про спроби експлуатації
Повідомлення описують активність як до, так і після публічного розкриття вразливостей:
- Amazon повідомила, що її honeypot-система MadPot зафіксувала спробу експлуатації 17 жовтня — до випуску виправлень 21 жовтня. Спостереження honeypot підтверджує спробу атаки на цей сенсор, але не доводить успішного зламу інших систем.
50
58
- Cloudflare повідомила про тисячі спроб протягом десяти годин до публічного оголошення та мільйони — після нього. Це кількість спроб, помічених у її мережі, а не число серверів, злам яких підтверджено.
36
- На момент свого повідомлення CISA заявила, що не спостерігала експлуатації вразливостей. Це опис її даних на той час, який не спростовує спроб, помічених іншими компаніями за допомогою власної телеметрії.
- Sophos виправила попереднє повідомлення про успішну експлуатацію в середовищах клієнтів: за її даними, йшлося про сканування та невелику кількість невдалих спроб. На момент оновлення компанія не мала доказів успішного зламу у своїх середовищах.
7
У сукупності ці дані — вагомий привід поставитися до PHP2Shell терміново: спроби атак фіксували, а потенційний вплив серйозний. Водночас джерела не доводять, що кожна спроба була успішною, і не дають остаточної загальної кількості зламаних систем.
Чого наявні дані не підтверджують
Надані матеріали не містять надійного підрахунку вразливих серверів, доступних з інтернету, не підтверджують, що помилки існували близько 20 років, і не встановлюють, що зловмисники використали ШІ для створення експлойтів PHP2Shell. Про допомогу ШІ йшлося в контексті виявлення вразливостей дослідниками, але це не є доказом того, як саме їх знайшли чи використали зловмисники. 27
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: критичні вразливості PHP і доступні виправлення"?
PHP2Shell — це дві вразливості PHP із рейтингом 9,2 за CVSS v4.0, які можуть дозволити віддалено виконувати код без автентифікації.
What are the key points to validate first?
PHP2Shell — це дві вразливості PHP із рейтингом 9,2 за CVSS v4.0, які можуть дозволити віддалено виконувати код без автентифікації. Виправлення вийшли 21 жовтня 2026 року — раніше запланованого терміну, після того як ідентифікатори CVE з’явилися в мережі.
What should I do next in practice?
Повідомлення Amazon і Cloudflare свідчать про спроби експлуатації, але самі по собі не доводять успішного зламу кожного атакованого сервера.