AnswersPublished27 sources
PHP2Shell: як захистити сервери від критичних вразливостей PHP
PHP2Shell — це дві критичні вразливості PHP із рейтингом 9,2, які можуть дозволити запускати код на вразливому сервері без автентифікації. Про вразливості повідомляли як про такі, що могли існувати в PHP роками; у дослідженнях із їх виявлення використовували інструменти ШІ.
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- PHP2Shell — це дві критичні вразливості PHP із рейтингом 9,2, які можуть дозволити запускати код на вразливому сервері без автентифікації.
- Про вразливості повідомляли як про такі, що могли існувати в PHP роками; у дослідженнях із їх виявлення використовували інструменти ШІ.
- Адміністраторам варто перевірити саме версію PHP у робочому середовищі й установити підтверджене виправлення: MFA та надійні паролі не усувають вразливість сервера.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the global “php2shell” crisis involving PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619, why did Microsoft CEO Satya Nadella. Article summary: “PHP2Shell” is an urgent PHP security and patching incident involving CVE-2026-109618 and CVE-2026-109619: two critical flaws that can let an attacker execute code on a vulnerable web server without logging in, potential. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell — назва двох критичних вразливостей у PHP, зареєстрованих як CVE-2026-109618 і CVE-2026-109619. У разі успішної атаки зловмисник може виконати код на вразливому сервері, навіть не входячи в систему. Виправлення опублікували 21 жовтня 2026 року; фахівці з кібербезпеки також повідомляли про спроби експлуатації, але спроба атаки — не те саме, що підтверджений злам.11
14
19
У чому полягають вразливості PHP2Shell
Проблема стосується самого PHP — середовища виконання, на якому працює серверний код, — а не конкретного сайту чи системи керування вмістом. За описом Red Hat, одна вразливість пов’язана з некоректною обробкою пам’яті, коли під час розбору запиту не вдається виділити потрібний обсяг. Інша може залишити застарілий стан після того, як критична помилка перериває очищення даних.7 У сукупності ці помилки створюють шлях до віддаленого виконання коду: атакувальнику потенційно не потрібно спершу входити на сервер.
11
13
Обидві вразливості отримали оцінку 9,2 за CVSS v4.0 — це критичний рівень серйозності.4 Серед можливих наслідків — захоплення контролю над сервером, розкриття даних або перебої в роботі сервісів. Водночас сам факт наявності вразливостей не означає, що кожен сайт на PHP уже атакували чи зламали.
13
Чому новина викликала термінову реакцію
За повідомленнями, ці помилки могли залишатися в PHP роками, перш ніж їх виявили.42 Однак тривалий час існування вразливості сам по собі не доводить, що зловмисники знали про неї або використовували її раніше.
Увагу привернула й роль ШІ в дослідженнях безпеки. У публікаціях ідеться, що Calif і Wiz використовували інструменти ШІ під час своїх розслідувань, а OpenAI долучилася до дослідницької роботи та процесу відповідального розкриття інформації.34
44 ШІ може допомагати фахівцям аналізувати програмне забезпечення, але історія виявлення PHP2Shell не показує, як швидко подібні інструменти можуть використати зловмисники або хто має перевагу.
У заголовках також згадували широке використання PHP — іноді його оцінюють приблизно у 70% сайтів.20 Ця цифра стосується поширеності PHP, а не кількості серверів, які точно вразливі чи вже зазнали зламу. Реальний ризик залежить від версії PHP, налаштувань, способу розгортання та наявності виправлення.
Виправлення, спроби атак і підтверджені факти
21 жовтня проєкт PHP опублікував виправлення у версіях 8.2.35, 8.3.36, 8.4.27 і 8.5.12.19 Цей перелік охоплює версії PHP від 8.2 до 8.5. Якщо ваша система працює на старішій версії, перевірте повідомлення про безпеку від виробника операційної системи чи хостинг-провайдера: там може бути доступне окреме виправлення або перенесений патч. Не варто припускати, що він точно є — або що його точно немає.
Про спроби експлуатації повідомляли кілька джерел. За даними SecurityWeek, Amazon зафіксувала спробу 17 жовтня — за чотири дні до виходу виправлень.14 Cloudflare також повідомила про різке зростання трафіку, спрямованого на експлуатацію вразливостей: у подальших звітах ішлося про мільйони спроб.
27
38 Це кількість зафіксованих спроб, а не успішних проникнень.
Оцінки масштабу атак різняться: одні джерела повідомляли про активні спроби, інше — що масова експлуатація виявилася менш імовірною, ніж очікували спочатку.3
4 Наявні матеріали не підтверджують масштабного успішного зламу. До достовірних повідомлень про атаки слід ставитися серйозно, водночас розрізняючи сканування, спроби експлуатації та докази проникнення на конкретний сервер.
2
3
Як реагували організації та державні установи
Деякі організації тимчасово відключали публічні сервіси, поки перевіряли системи й установлювали виправлення. У повідомленнях згадувалися тимчасові вимкнення або технічні роботи в Японії, Франції, Фінляндії та Нідерландах; американські та європейські установи також закликали організації діяти.18
20
35 Тимчасово відключити сайт може бути способом зменшити ризик під час реагування, але це саме по собі не свідчить, що сайт уже зламали.
У наявних для цієї статті матеріалах немає незалежного підтвердження повідомлень, приписаних генеральному директору Microsoft Сатьї Наделлі та нібито виголошених на заході в Кельні. Без надійного підтвердження ці слова не варто використовувати для пояснення реакції на інцидент.
Що варто зробити адміністраторам PHP-серверів
- Перевірте PHP, а не лише сайт. PHP2Shell зачіпає середовище виконання PHP. Оновлення CMS або плагіна саме по собі не означає, що версію PHP на сервері виправлено.
13
- Установіть підтверджене виправлення. Оновіть PHP до відповідної виправленої версії або дотримуйтеся інструкцій виробника щодо перенесеного патча. Переконайтеся, яка версія фактично працює в робочому середовищі.
19
- Перевірте, чи не було проникнення. Патч усуває вразливість, але не доводить, що до цього сервером не скористалися. Перегляньте журнали подій і дослідіть підозрілу активність перед тим, як повернути систему до звичайного режиму.
- Обережно застосовуйте тимчасові заходи захисту. Керуйтеся актуальними рекомендаціями розробників PHP або постачальника вашої платформи. Не покладайтеся на одну зміну налаштувань чи міжмережевий екран вебзастосунків (WAF) замість підтвердженого виправлення PHP.
15
27
- Захищайте облікові записи додатковими засобами. Унікальні паролі й багатофакторна автентифікація допомагають захистити облікові записи, але не усувають уразливість, яка дає змогу виконувати код на сервері без входу.
Для ІТ-команд важливо розрізняти вразливість, спробу її експлуатації та підтверджений злам. Так можна не зволікати з терміновим оновленням і водночас не перетворювати непевні повідомлення на висновки про те, кого саме зламали.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: як захистити сервери від критичних вразливостей PHP"?
PHP2Shell — це дві критичні вразливості PHP із рейтингом 9,2, які можуть дозволити запускати код на вразливому сервері без автентифікації.
What are the key points to validate first?
PHP2Shell — це дві критичні вразливості PHP із рейтингом 9,2, які можуть дозволити запускати код на вразливому сервері без автентифікації. Про вразливості повідомляли як про такі, що могли існувати в PHP роками; у дослідженнях із їх виявлення використовували інструменти ШІ.
What should I do next in practice?
Адміністраторам варто перевірити саме версію PHP у робочому середовищі й установити підтверджене виправлення: MFA та надійні паролі не усувають вразливість сервера.
Sources
cyber.gc.caAL26-026 - Critical vulnerabilities impacting PHP - CVE- ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php...