AnswersPublished25 sources
PHP2Shell: що відомо про критичні вразливості PHP
PHP2Shell — це дві критичні вразливості PHP, що можуть дозволити віддалено виконувати код; кожну оцінили у 9,2 за CVSS 4.0, а виправлення вийшли 21 жовтня 2026 року. Компанія Calif виявила критичну помилку за допомогою GPT 5.6 Sol від OpenAI, а Wiz незалежно знайшла й повідомила про обидві вразливості.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- PHP2Shell — це дві критичні вразливості PHP, що можуть дозволити віддалено виконувати код; кожну оцінили у 9,2 за CVSS 4.0, а виправлення вийшли 21 жовтня 2026 року.
- Компанія Calif виявила критичну помилку за допомогою GPT 5.6 Sol від OpenAI, а Wiz незалежно знайшла й повідомила про обидві вразливості.
- Повідомлення про сканування та спроби атак не є доказом успішного зламу: у наведених джерелах немає підтверджень таких компрометацій.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 24, 2026 report on the AI-discovered PHP2Shell vulnerabilities reveal about CVE-2026-109618 and CVE-2026-109619, their. Article summary: The available evidence describes PHP2Shell as two critical PHP vulnerabilities enabling remote code execution, with CVSS 4.0 ratings of 9.2, discovered through AI-assisted security research and addressed with emergency p. Topic tags: general, general web, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers
PHP2Shell — назва двох критичних вразливостей у самій мові PHP: CVE-2026-109618 і CVE-2026-109619. Кожну оцінили у 9,2 за шкалою CVSS 4.0. За певних умов помилки могли дозволити віддалено виконати код на сервері без автентифікації. PHP випустила термінові виправлення 21 жовтня 2026 року. 8
9
10
Історія привернула увагу й до досліджень кібербезпеки за допомогою ШІ. Компанія Calif використала GPT-5.6 Sol від OpenAI для виявлення критичної помилки, а Wiz незалежно знайшла й повідомила про обидві вразливості. Водночас повідомлення про сканування систем або спроби атак не означають, що сервери справді зламали. 20
29
34
Що могли зробити вразливості PHP2Shell
Ці помилки стосувалися ядра PHP, а не окремої платформи для сайтів чи її плагіна. CVE-2026-109618 пов’язана з обробкою нестачі пам’яті, коли дані запиту ще не повністю ініціалізовані. CVE-2026-109619 стосується внутрішнього стану, який міг зберегтися після звільнення пам’яті, де його було розміщено. Обидві вразливості могли призвести до віддаленого виконання коду. 10
26
Оцінка 9,2 за CVSS 4.0 означає критичний рівень серйозності. Ризик полягає в тому, що зловмисник за певних умов міг би запускати команди на вразливому сервері через мережу, не входячи до системи. 9
10
Як до виявлення долучився ШІ
Calif виявила критичну помилку за допомогою GPT-5.6 Sol від OpenAI у межах ініціативи Patch the Planet. Wiz незалежно знайшла й повідомила про обидві вразливості; за повідомленнями, її дослідники використовували Wiz Atlas, Gemini 4 Argon і GPT-5.6 Sol. 20
29
У джерелах є розбіжність щодо ранньої хронології. В одному повідомленні йдеться, що Calif виявила проблеми 1 серпня, в іншому — що дослідники повідомили PHP про першу вразливість 11 серпня. Обидва описи вказують на роботу з розробниками до публічного розкриття інформації в жовтні. 20
30
Важливо розрізняти виявлення вразливостей за допомогою ШІ та подальші атаки: наведені повідомлення не доводять, що їх здійснювали автономні ШІ-агенти.
Термінові виправлення і відключення сайтів
21 жовтня PHP випустила виправлені версії 8.2.35, 8.3.36, 8.4.27 і 8.5.12. Це номери версій основного проєкту PHP. Дистрибутиви Linux можуть переносити виправлення у свої пакети, не змінюючи номер версії так само, як у PHP, тож адміністраторам варто перевірити рекомендації розробника свого дистрибутива, а не орієнтуватися лише на номер. 8
27
Після розкриття інформації деякі оператори сайтів тимчасово відключили системи, поки оцінювали ризик. За повідомленнями, 21 жовтня офлайн перейшли урядові сайти в Європі та інших регіонах. 21 В іншому повідомленні зазначалося, що витік подробиць про вразливості став однією з причин перенесення запланованого випуску PHP на день раніше.
22
33
Для організацій, які використовують PHP, першочергове завдання — з’ясувати, чи встановлено виправлення саме для тієї версії PHP, що обслуговує вебтрафік, і виконати необхідне оновлення. Якщо сервером керує хостинг-провайдер, попросіть його підтвердити, що виправлення встановлено. За потреби дотримуйтеся вказівок провайдера щодо перезапуску й перевірки системи. 8
24
Спроби атак — ще не підтверджені злами
За повідомленнями, Cloudflare і Patchstack фіксували зондування систем до виходу виправлення PHP 21 жовтня. Пізніший звіт із кібербезпеки згадував мільйони спроб атак, тоді як BBC 22 жовтня писала, що відомих успішних експлуатацій не зафіксовано. Ці дані свідчать, що до загрози варто ставитися серйозно, але самі по собі не підтверджують успішного зламу серверів. 2
3
34
Отже, обґрунтований висновок такий: PHP2Shell була серйозною загрозою, швидко привернула увагу зловмисників і вимагала термінового встановлення виправлень. Але кількість спроб не можна подавати як кількість успішних проникнень. Наведені джерела також не дають надійної оцінки того, скільки вразливих сайтів було доступно з інтернету, і не підтверджують атак із використанням автономних ШІ-агентів.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: що відомо про критичні вразливості PHP"?
PHP2Shell — це дві критичні вразливості PHP, що можуть дозволити віддалено виконувати код; кожну оцінили у 9,2 за CVSS 4.0, а виправлення вийшли 21 жовтня 2026 року.
What are the key points to validate first?
PHP2Shell — це дві критичні вразливості PHP, що можуть дозволити віддалено виконувати код; кожну оцінили у 9,2 за CVSS 4.0, а виправлення вийшли 21 жовтня 2026 року. Компанія Calif виявила критичну помилку за допомогою GPT 5.6 Sol від OpenAI, а Wiz незалежно знайшла й повідомила про обидві вразливості.
What should I do next in practice?
Повідомлення про сканування та спроби атак не є доказом успішного зламу: у наведених джерелах немає підтверджень таких компрометацій.
Sources
wppoland.comPHP2Shell: is my WordPress site at risk and what to do - WPPoland
expresscomputer.inPHP2Shell: Security vendors race to contain a critical vulnerability as exploitation attempts spread
nivector.comPHP2Shell: the two critical PHP flaws that pushed governments offline
internazionale.itGovernment websites go dark after AI-discovered flaw ...