AnswersPublished30 sources
PHP2Shell: дві критичні вразливості PHP і термінові кроки для адміністраторів
PHP2Shell — це дві критичні вразливості PHP, CVE 2026 109618 і CVE 2026 109619, які за певних умов могли дозволити зловмиснику виконувати код на сервері без автентифікації. 21 жовтня 2026 року PHP випустив виправлені версії 8.2.35, 8.3.36, 8.4.27 і 8.5.12; оновлення самого сайту або його плагінів не замінює виправле...
ОпублікувавВідредаговано за допомогою GPT-6 LunaЗображення створено за допомогою GPT Image 2
Research answer
Key takeaways
- PHP2Shell — це дві критичні вразливості PHP, CVE 2026 109618 і CVE 2026 109619, які за певних умов могли дозволити зловмиснику виконувати код на сервері без автентифікації.
- 21 жовтня 2026 року PHP випустив виправлені версії 8.2.35, 8.3.36, 8.4.27 і 8.5.12; оновлення самого сайту або його плагінів не замінює виправлення середовища PHP.
- Компанії повідомляли про сканування та спроби атак, але такі дані самі по собі не підтверджують успішне проникнення чи масові злами.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the October 2026 “PHP2Shell” cybersecurity crisis involving AI-discovered flaws CVE-2026-109618 and CVE-2026-109619 in PHP, which po. Article summary: PHP2Shell is the name given to two critical PHP vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can permit unauthenticated remote code execution; emergency patches and precautionary shutdowns followed their Oc. Topic tags: general, general web, government, news, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermar
PHP2Shell — спільна назва двох критичних вразливостей у самому PHP: CVE-2026-109618 і CVE-2026-109619. За певних умов вони могли дозволити віддалено виконати код на сервері без входу в систему. PHP випустив виправлення 21 жовтня 2026 року; під час реагування деякі організації тимчасово обмежували доступ до сервісів. Водночас повідомлення про сканування чи спроби експлуатації не є доказом успішного зламу. 4
7
18
У чому полягала проблема
Ці вразливості стосуються рушія PHP, а не окремого плагіна чи конкретної вебпрограми. Одна пов’язана з обробкою помилки вичерпання пам’яті, інша — із застарілим глобальним станом. За певних умов спеціально сформований запит міг призвести до виконання коду; одна з вразливостей також могла розкрити чутливі дані з пам’яті процесу. 4
11
PHP широко використовують для вебсайтів. У деяких оцінках ідеться про частку до 70%, однак це не означає, що кожен сайт на PHP був уразливим або однаково доступним для атаки. Ризик залежить від версії PHP, конфігурації сервера та того, чи можна дістатися до вразливого коду. 45
46
Виявлення вразливостей і витік інформації
У повідомленнях про дослідження та усунення проблем згадуються команди Wiz, Calif і OpenAI; частина публікацій описувала ШІ як один з інструментів дослідників. Водночас доступні джерела не підтверджують усіх деталей історії відкриття — зокрема конкретний сценарій із переходом від експлойта для WordPress до Drupal або точний розподіл роботи над кожною CVE. 14
45
За повідомленнями про інцидент, ознаки проблеми з керуванням пам’яттю помітили раніше, але її здатність призвести до віддаленого виконання коду продемонстрували пізніше. Це важлива різниця: виявити підозрілий дефект — не те саме, що довести реальний шлях атаки. 22
38
Подробиці витекли до запланованого публічного оголошення. Це пришвидшило реагування та посилило тиск на команди, які готували й поширювали виправлення. 6
23 Інцидент показав, як швидко технічна проблема може перетворитися на операційний виклик, коли перевірку, розкриття інформації та встановлення оновлень доводиться стискати в короткий проміжок часу.
Які виправлення випустили і що відомо про атаки
21 жовтня вийшли виправлені версії PHP 8.2.35, 8.3.36, 8.4.27 і 8.5.12. Адміністраторам також варто перевірити повідомлення свого хостинг-провайдера або постачальника операційної системи: деякі компанії переносять виправлення у власні пакети, не змінюючи номер основної версії PHP. 4
39
Компанії з кібербезпеки повідомляли про сканування та спроби експлуатації приблизно в період розкриття вразливостей. У матеріалах, пов’язаних із Cloudflare, також ішлося про різке зростання кількості спроб. Такі підрахунки стосуються запитів, помічених конкретними сервісами, а не кількості підтверджених зламів. 5
36
Оцінки успішних атак різнилися. BBC станом на 22 жовтня повідомляла, що підтверджених успішних експлуатацій не було. Пізніше Beazley зазначила, що спроби атак фіксувалися, але компанії не було відомо про підтверджену масову експлуатацію. Sansec також переглянула первинну оцінку, вказавши, що масові злами видаються менш імовірними, ніж очікувалося спочатку. Ці висновки стосуються конкретного часу й не означають, що сервер без виправлення безпечний. 7
9
18
Чому деякі сервіси тимчасово вимикали
Частина організацій тимчасово вимкнула сервіси або обмежила доступ до них, поки оцінювала ризики й готувала оновлення. За повідомленнями, уряд Великої Британії вивів з роботи 32 сервіси. Трекер доступності сервісів зафіксував понад 100 повідомлень про перебої, технічне обслуговування або PHP2Shell до появи виправлення. Це свідчить про вплив термінового оновлення на роботу служб, але саме по собі не доводить, що ці сервіси атакували. 22
34
Інші публікації описували реакцію урядів та організацій у різних країнах. Однак наявні дані не дають повного незалежно перевіреного переліку сервісів, які тимчасово припиняли роботу, і не підтверджують кожне повідомлення про локальні перебої. 20
25
Що робити операторам сайтів
- Знайдіть усі інсталяції PHP. Перевірте робочі сервери, контейнери, резервні системи та керований хостинг, а не лише основний сайт.
- Якнайшвидше встановіть відповідне виправлення. Використовуйте зазначену виправлену версію або пакет із підтвердженим виправленням від постачальника. За потреби перезапустіть PHP-процеси чи служби й перевірте, яка версія фактично працює. Оновлення застосунку або плагіна не замінює виправлення самого PHP.
14
39
- Якщо негайно оновитися неможливо — обмежте доступ. Залежно від доступності сервісу з інтернету та його важливості можна тимчасово обмежити доступ або вимкнути його. Мережеві правила захисту — тимчасовий захід, а не заміна виправлення.
- Перевірте ознаки можливого проникнення. Перегляньте відповідні журнали та пошукайте неочікувані файли, процеси чи облікові записи адміністраторів. Якщо є підозра на злам, збережіть докази й проведіть розслідування: встановлення виправлення не усуває наслідків уже здійсненого проникнення.
- Попросіть провайдера підтвердити оновлення. Невеликим організаціям, які користуються хостингом або керованими ІТ-послугами, варто отримати чітке підтвердження, що виправлені всі PHP-середовища, від яких вони залежать.
Агентство національної безпеки США (NSA) рекомендувало критичні оновлення та повідомило, що зосереджується на виявленні зловмисників, які можуть намагатися скористатися PHP2Shell. ФБР також закликало організації оновити PHP. Доступні тут джерела не підтверджують існування єдиної спільної вказівки FBI, NSA та CISA, яка вимагала б від усіх організацій вимикати системи, якщо їх не вдається швидко оновити. 17
28
Що можуть зробити звичайні користувачі
Оновлюйте особисті пристрої, програми й маршрутизатори, використовуйте багатофакторну автентифікацію та унікальні паролі. Це корисні загальні правила цифрової безпеки, але вони не виправляють PHP на сервері вебсайту — цим має займатися його оператор або хостинг-провайдер.
Головний практичний висновок із PHP2Shell — оперативно встановлювати перевірені виправлення й бути готовими до коротких термінів реагування. Інцидент показує, наскільки швидко можуть розвиватися дослідження вразливостей і спроби їх використання. Але кількість зафіксованих спроб не можна прирівнювати до підтверджених масових зламів, а ситуацію — називати крахом безпеки всього інтернету.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: дві критичні вразливості PHP і термінові кроки для адміністраторів"?
PHP2Shell — це дві критичні вразливості PHP, CVE 2026 109618 і CVE 2026 109619, які за певних умов могли дозволити зловмиснику виконувати код на сервері без автентифікації.
What are the key points to validate first?
PHP2Shell — це дві критичні вразливості PHP, CVE 2026 109618 і CVE 2026 109619, які за певних умов могли дозволити зловмиснику виконувати код на сервері без автентифікації. 21 жовтня 2026 року PHP випустив виправлені версії 8.2.35, 8.3.36, 8.4.27 і 8.5.12; оновлення самого сайту або його плагінів не замінює виправлення середовища PHP.
What should I do next in practice?
Компанії повідомляли про сканування та спроби атак, але такі дані самі по собі не підтверджують успішне проникнення чи масові злами.
Sources
dynatrace.comCVE-2026-109618 & CVE-2026-109619: PHP2Shell Critical ...
labs.beazley.securityPHP2SHELL: Critical PHP RCE Flaws Threaten Web Infrastructure ...
bbc.comPHP: What is it and why did it spark a global cyber security ...
sec.cloudapps.cisco.comVulnerabilities in PHP Affecting Cisco Products: October 2026