AnswersPublished24 sources
PHP2Shell: що відомо про критичні вразливості PHP і як діяти
PHP2Shell — це дві вразливості PHP, CVE 2026 109618 і CVE 2026 109619, які можуть дозволити віддалено виконати код без автентифікації. Виправлення увійшли до PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- PHP2Shell — це дві вразливості PHP, CVE 2026 109618 і CVE 2026 109619, які можуть дозволити віддалено виконати код без автентифікації.
- Виправлення увійшли до PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Організаціям варто перевірити всі PHP сервіси та якнайшвидше встановити оновлення або підтверджене виправлення від постачальника.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell — назва двох критичних вразливостей у коді PHP, який обробляє вебзапити: CVE-2026-109618 і CVE-2026-109619. Вони можуть дозволити зловмиснику без автентифікації виконувати код на вразливому сервері. PHP випустила термінові виправлення 21 жовтня 2026 року — після того, як інформація про вразливості стала публічною раніше запланованого розкриття. Повідомлення про спроби атак самі по собі не доводять, що зловмисники успішно проникли в системи. 4
6
15
У чому полягають вразливості PHP2Shell
Обидві помилки стосуються самого PHP, а не окремого сайту чи застосунку. За даними безпекових повідомлень, уразливими є PHP 5.4 і новіші версії. Спеціально сформований запит може активувати вразливість під час обробки вебтрафіку. 8
14
Причини помилок різні: CVE-2026-109618 пов’язана з пошкодженням пам’яті за умов її вичерпання, а CVE-2026-109619 — із застарілим глобальним станом. Обидві отримали оцінку 9,2 за CVSS 4.0 і класифікацію «Критична». 4
15
PHP широко використовують, але наявні джерела не дають надійної оцінки частки всіх сайтів, які можуть бути вразливими. Такі підрахунки можуть спиратися на різні сукупності даних, тож гучну цифру не слід сприймати як кількість уразливих сайтів. Для адміністраторів головне — перевірити, чи працює на їхніх серверах невиправлена версія PHP, що обробляє вебзапити. 3
14
Розкриття інформації та виправлення
Інформація про вразливості стала публічною 20 жовтня — за день до термінового випуску виправлень PHP і раніше за початково заплановане розкриття 22 жовтня. 6
7
16
У своєму повідомленні Cloudflare назвала Calif, Wiz, OpenAI та Quarkslab учасниками процесу розкриття. У тогочасних публікаціях ішлося про дослідження Calif за допомогою штучного інтелекту, а також про те, що Wiz незалежно виявила й повідомила про вразливості. Наявні джерела не встановлюють точний технічний внесок кожного учасника. 14
20
Виправлення, випущені 21 жовтня, доступні у версіях PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35. 15
16 Адміністраторам варто визначити, які версії PHP працюють у продуктивному середовищі, і встановити відповідне виправлене оновлення або підтверджений патч від постачальника.
Хостинг-провайдер може перенести виправлення безпеки до власного пакета, не змінюючи основний номер версії, який бачить користувач. Тому якщо номер у системі здається застарілим, перевірте рекомендації провайдера. 1
Що відомо про спроби атак
21 жовтня в повідомленнях з кібербезпеки описували спроби атак із використанням цих вразливостей. Cloudflare заявила, що спостерігала атакувальний трафік, а SecurityWeek повідомила, що кілька компаній із кібербезпеки фіксували спроби експлуатації до виходу виправлень PHP. 14
15
Водночас дані не давали однозначної відповіді, чи відбулися успішні злами. У пізнішому огляді повідомлень від 21 жовтня зазначалося, що на той момент CISA та Канадський центр кібербезпеки не спостерігали й не виявили експлуатації, тоді як компанії з кібербезпеки повідомляли про спроби атак. Це різні твердження: запит, спрямований на експлуатацію вразливості, не є доказом успішного проникнення. Водночас відсутність спостережень з боку державних органів не доводить, що зламів не було. 25
Що робити: оновити, перевірити, за потреби ізолювати
Агентство національної безпеки США (NSA) радило організаціям пріоритетно встановлювати виправлення від постачальників і скласти перелік обладнання та програмних сервісів, які залежать від уразливих версій PHP. 17 Також повідомлялося, що CISA закликає до негайного оновлення.
20 Якщо уразливий сервіс неможливо швидко виправити, у повідомленнях радили тимчасово вивести його з мережі, а не залишати доступним для атак.
7
21
Cloudflare повідомила, що з 03:02 UTC 21 жовтня клієнти її безкоштовного та платного WAF отримали захист від PHP2Shell за замовчуванням. WAF — це міжмережевий екран для вебзастосунків, який фільтрує запити до сайтів і сервісів. 14 Такий захист може бути додатковим бар’єром, але не замінює оновлення PHP: наявність правила фільтрації не означає, що вразливість на сервері виправлена.
14
17
Пильність потрібна не лише тим, хто використовує звичайний PHP-хостинг. Help Net Security повідомила, що Palo Alto Networks визнала вразливими всі версії PAN-OS і Panorama та що на момент публікації виправлень для них ще не було. 33 Статус продуктів і доступні заходи захисту залежать від конкретного постачальника, тож користувачам мережевого обладнання чи керованих платформ слід керуватися відповідними повідомленнями виробника, а не вважати, що оновлення PHP автоматично виправить ці продукти.
Головне
PHP2Shell — це термінова проблема для оновлення систем: перевірте всі PHP-сервіси, встановіть виправлену версію або підтверджений патч від постачальника, а тимчасову ізоляцію чи фільтрацію використовуйте лише як проміжний захід. Повідомлення від 21 жовтня підтверджують занепокоєння через спроби атак, але не дають підстав вважати кожну таку спробу підтвердженим зламом. 1
15
17
25
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: що відомо про критичні вразливості PHP і як діяти"?
PHP2Shell — це дві вразливості PHP, CVE 2026 109618 і CVE 2026 109619, які можуть дозволити віддалено виконати код без автентифікації.
What are the key points to validate first?
PHP2Shell — це дві вразливості PHP, CVE 2026 109618 і CVE 2026 109619, які можуть дозволити віддалено виконати код без автентифікації. Виправлення увійшли до PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Організаціям варто перевірити всі PHP сервіси та якнайшвидше встановити оновлення або підтверджене виправлення від постачальника.
Sources
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...