AnswersPublished20 sources
PHP2Shell: що відомо про критичні вразливості PHP і як діяти адміністраторам
PHP2Shell — пара критичних вразливостей PHP CVE 2026 109618 і CVE 2026 109619, кожну з яких оцінено у 9,2 бала за CVSS; вони можуть дозволити віддалене виконання коду без автентифікації. Виправлені версії PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35 вийшли 21 жовтня 2026 року.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- PHP2Shell — пара критичних вразливостей PHP CVE 2026 109618 і CVE 2026 109619, кожну з яких оцінено у 9,2 бала за CVSS; вони можуть дозволити віддалене виконання коду без автентифікації.
- Виправлені версії PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35 вийшли 21 жовтня 2026 року.
- Amazon зафіксувала спробу експлуатації в пастці приманці 17 жовтня, а Cloudflare повідомила про мільйони спроб після розголосу.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 severity ratings and potential fo. Article summary: PHP2Shell comprises two critical PHP memory-corruption vulnerabilities, CVE-2026-109618 and CVE-2026-109619, each rated 9.2 and capable of unauthenticated remote code execution; fixed releases were issued on October 21, . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell — спільна назва двох критичних вразливостей PHP: CVE-2026-109618 і CVE-2026-109619. Кожну з них оцінено у 9,2 бала за шкалою CVSS, а зловмисник може скористатися ними для виконання коду на вебсервері без автентифікації. PHP опублікувала виправлення 21 жовтня 2026 року. На терміновість реагування вплинуло повідомлення про спробу експлуатації, датовану чотирма днями раніше. 4
5
У чому полягають вразливості PHP2Shell
Обидві проблеми пов’язані з помилками керування пам’яттю під час обробки запитів у PHP. За описом PHP, CVE-2026-109618 спричиняє пошкодження пам’яті під час очищення після помилки нестачі пам’яті. CVE-2026-109619 дає змогу повторно використати застарілий стан запиту в наступному запиті, який обробляє той самий робочий процес. Обидві вразливості можуть призвести до віддаленого виконання коду. 4
10
Ризик стосується інсталяцій PHP, які обробляють вебзапити. Серед них — конфігурації з PHP-FPM, Apache з mod_php та інші вебсерверні варіанти. 4
5 Команда безпеки PHP вважає, що найбільший ризик — у mod_php.
7
Виправлені версії PHP
21 жовтня 2026 року PHP випустила такі версії з виправленнями: 4
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Адміністраторам слід оновити PHP до виправленої версії відповідної гілки. Оскільки проблема стосується інсталяцій, що обслуговують вебтрафік, перевірте всі такі середовища, а не лише версію фреймворку чи системи керування вмістом. 4
5
Повідомлялося, що передчасне розголошення перенесло випуск виправлень із запланованого 22 жовтня на день раніше. У доступних повідомленнях немає певних даних про те, яка саме інформація просочилася, хто її розкрив і як вона поширилася. 3
20
Що відомо про спроби атак
Amazon Threat Intelligence повідомила про спробу експлуатації, яку її пастка-приманка MadPot зафіксувала 17 жовтня — за чотири дні до публічного розголосу та випуску виправлень. За даними Amazon, спроба надійшла з IP-адреси, пов’язаної з комерційною мережею анонімізації. Водночас невідомо, як саме зловмисник дізнався про вразливості заздалегідь.
Після розголосу Cloudflare зафіксувала мільйони спроб експлуатації. Це кількість спроб, а не підтверджених зламаних сайтів. 18
19 Так само зафіксована пасткою-приманкою активність свідчить про спробу атаки, але не доводить, що зловмисник успішно проник на робочий сервер. Доступні повідомлення не встановлюють, скільки саме виробничих систем, якщо такі були, зазнали злому.
46
Що варто зробити адміністраторам
- Встановити виправлену версію PHP у кожному середовищі, де використовується відповідна гілка.
4
- Перевірити активність, починаючи з 17 жовтня. Оскільки Amazon виявила ранню спробу атаки на своїй пастці-приманці, для ретроспективної перевірки недостатньо брати за початок лише день випуску патчів.
46
- Розрізняти спробу атаки й підтверджений злам. Кількість спроб може свідчити, що вразливість активно перевіряють, але сама по собі не доводить виконання коду на конкретному сервері.
18
Найважливіші кроки — оновити вразливі інсталяції PHP та перевірити відповідну активність щонайменше з 17 жовтня. Велика кількість спроб підкреслює терміновість оновлення, але не є доказом, що кожен сервер, на який націлювалися, був зламаний.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: що відомо про критичні вразливості PHP і як діяти адміністраторам"?
PHP2Shell — пара критичних вразливостей PHP CVE 2026 109618 і CVE 2026 109619, кожну з яких оцінено у 9,2 бала за CVSS; вони можуть дозволити віддалене виконання коду без автентифікації.
What are the key points to validate first?
PHP2Shell — пара критичних вразливостей PHP CVE 2026 109618 і CVE 2026 109619, кожну з яких оцінено у 9,2 бала за CVSS; вони можуть дозволити віддалене виконання коду без автентифікації. Виправлені версії PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35 вийшли 21 жовтня 2026 року.
What should I do next in practice?
Amazon зафіксувала спробу експлуатації в пастці приманці 17 жовтня, а Cloudflare повідомила про мільйони спроб після розголосу.
Sources
censys.comOct 21 Advisory: php2shell - PHP Unauthenticated Remote Code ...
csa.gov.sgCritical Vulnerabilities in PHP (PHP2Shell)