AnswersPublished25 sources
PHP2Shell: дві критичні вразливості в PHP і термінові оновлення
21 жовтня PHP випустила виправлення для двох критичних вразливостей, що давали змогу віддалено виконувати код без входу в систему. Виправлені версії — PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- 21 жовтня PHP випустила виправлення для двох критичних вразливостей, що давали змогу віддалено виконувати код без входу в систему.
- Виправлені версії — PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Адміністраторам варто перевірити версію PHP на серверах і встановити оновлення для відповідної гілки.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 21–22, 2026 PHP2Shell security crisis, including PHP’s use by about 70% of websites; the unauthenticated re. Article summary: PHP2Shell prompted an emergency patching race on October 21, followed by reports of millions of exploitation attempts on October 22; its significance came from PHP’s reported use by roughly 70% of websites, not evidence . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell — назва двох критичних вразливостей у PHP: CVE-2026-109618 і CVE-2026-109619. PHP випустила виправлення 21 жовтня 2026 року, після того як подробиці про проблеми витекли раніше за заплановане розкриття. Уже 22 жовтня компанії з кібербезпеки повідомляли про різке зростання спроб експлуатації. За оцінками, PHP використовується приблизно на 70% вебсайтів, але це не означає, що 70% сайтів було зламано. 1
2
9
18
19
Що могли зробити вразливості PHP2Shell
Ці вразливості описали як критичні проблеми віддаленого виконання коду без автентифікації. За певних умов зловмисник міг виконати код на вразливому сервері, не входячи до системи. Одна проблема стосувалася пошкодження пам’яті під час обробки нестачі вільної пам’яті, інша — застарілого глобального стану. 6
7
У повідомленнях про інцидент зазначалося, що потенційно вразливими могли бути версії PHP, починаючи з 5.4. Однак широкий діапазон версій сам по собі не доводить, що кожен сайт на PHP був уразливим за своїх налаштувань або зазнав успішної атаки. 14
21
Термінові виправлення після передчасного витоку
21 жовтня PHP випустила виправлені версії 8.5.12, 8.4.27, 8.3.36 і 8.2.35. 1
6 Це сталося після витоку інформації 20 жовтня — до запланованого на 22 жовтня розкриття. Передчасна публікація порушила узгоджений графік, а розробникам довелося випустити виправлення раніше.
2
9
13
Практичний крок для організацій — перевірити версію PHP на кожному сервері, доступному з інтернету, і встановити виправлену версію відповідної гілки. Рекомендації з безпеки наголошують на перевірці всіх інсталяцій, що обробляють вебзапити, а не лише окремих сайтів чи застосунків. 7
11
ШІ допомагав дослідникам, але не працював самостійно
OpenAI повідомила, що компанія Calif виявила одну з вразливостей за допомогою GPT-5.6 Sol у межах ініціативи Patch the Planet. Wiz незалежно знайшла й повідомила про обидві проблеми. Виправлення та випуск оновлень очолили супровідники PHP. 48 OpenAI також заявила, що протягом попередніх двох місяців координувала роботу з розробниками, дослідниками й постачальниками рішень із кібербезпеки.
48
Цей випадок показує, як ШІ можуть залучати до пошуку вразливостей. Але він не доводить, що система ШІ самостійно виявила, перевірила чи виправила проблеми: у наведених повідомленнях ідеться про спільну роботу інструментів ШІ, дослідників і команд безпеки PHP. 35
48
Спроби атак і тимчасове вимкнення сайтів
Cloudflare повідомила, що кількість спроб експлуатації зросла від тисяч до мільйонів після публічного розголосу. За повідомленнями, Amazon також зафіксувала спробу атаки 17 жовтня — за чотири дні до публічного розкриття. Йдеться про спроби, а не про кількість успішних зламів. 19
Постачальники засобів кібербезпеки повідомляли про активність не лише в honeypot-системах — спеціальних приманках, що імітують вразливі цілі. Водночас на той момент державні установи офіційно не підтверджували ці повідомлення. 17 Окремо медіа писали про превентивне вимкнення державних сайтів і сервісів, зокрема понад 30 урядових сервісів у Великій Британії.
23 АНБ США попереджало, що зловмисники можуть використати вразливості, щоб захопити вебсервери, викрасти дані, порушити роботу сервісів або проникнути глибше в корпоративні мережі. За даними USA Today, агентство радило тим, хто не може швидко встановити виправлення, тимчасово відключити сайти.
18
23
Наявні повідомлення свідчать про швидку реакцію на інцидент і великий обсяг атакувального трафіку. Вони не дають підстав назвати загальну кількість успішних зламів у світі. Так само оцінку частки сайтів, що використовують PHP, не слід сприймати як оцінку кількості підтверджено вразливих або зламаних сайтів.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: дві критичні вразливості в PHP і термінові оновлення"?
21 жовтня PHP випустила виправлення для двох критичних вразливостей, що давали змогу віддалено виконувати код без входу в систему.
What are the key points to validate first?
21 жовтня PHP випустила виправлення для двох критичних вразливостей, що давали змогу віддалено виконувати код без входу в систему. Виправлені версії — PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Адміністраторам варто перевірити версію PHP на серверах і встановити оновлення для відповідної гілки.