Две критические уязвимости PHP под кодовым названием «PHP2Shell» подвергают риску большую часть Интернета

21 октября 2026 года проект PHP выпустил исправленные версии языка после того, как исследователи в области безопасности раскрыли две критические уязвимости удаленного выполнения кода, коллективно названные «PHP2Shell». Эти уязвимости, отслеживаемые как CVE-2026-109618 и CVE-2026-109619, были найдены компанией облачной безопасности Wiz Research, которая отдала должное организациям Calif и OpenAI за их вклад в обнаружение, координацию и проверку патчей, согласно публичному посту Wiz.

Что делают эти две уязвимости

По словам Wiz, две уязвимости CVE фактически объединяют четыре отдельные базовые ошибки. CVE-2026-109618 охватывает ошибку использования освобожденной памяти в десериализаторе загрузки прогресса сеанса PHP, которая может быть использована для удаленного выполнения кода, плюс связанная ошибка, которая может пропустить память из запущенного процесса рабочего PHP без аутентификации. CVE-2026-109619 охватывает использование освобожденной памяти в обработке трассировки стека ошибок PHP и отдельную ошибку путаницы типов в OPcache, кэше байт-кода общей памяти PHP.

По словам Wiz, обе ошибки находятся в путях кода, через которые проходит почти каждый запрос PHP: управление памятью и обработка ошибок. Фонд PHP сделал то же самое замечание в комментариях, процитированных изданием SecurityWeek.

График обнаружения

Исследовательская группа Wiz — названная в его блог-посте как Саги Цадик, Шир Тамари, Нир Охфельд и Томер Шварц — говорит, что обнаружила первую ошибку 19 августа 2026 года и подтвердила работающие эксплойты удаленного выполнения кода против установок WordPress и Drupal в следующие два дня. Команда сообщила о своих выводах группе безопасности PHP 24 августа 2026 года. Публичное раскрытие и соответствующие патчи последовали 21 октября 2026 года.

Wiz говорит, что использовала модели кодирования AI, включая Google Gemini 4 Argon и OpenAI GPT-5.6 Sol, чтобы помочь построить доказательства концепции эксплойтов, описав работу, которая предыдущим исследователям-специалистам потребовала бы месяцы, как достижимую за часы.

Кто затронут

Wiz заявляет, что базовые ошибки существуют в каждой версии PHP, выпущенной примерно за последний десяток лет, с по крайней мере одной из двух уязвимостей CVE, присутствующей с PHP 5.4 и далее. Компания говорит, что подтвердила несанкционированное удаленное выполнение кода против текущих выпусков трех широко используемых систем управления контентом: WordPress, Drupal и Joomla. SecurityWeek сообщает, что ошибки влияют на распространенные методы развертывания PHP, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.

Wiz характеризует масштаб воздействия как влияющий на примерно 70% Интернета, что относится к доле веб-сайтов, которые работают на PHP в той или иной форме, согласно описанию компании.

Попытки эксплуатации после раскрытия

Несколько компаний безопасности отслеживали трафик атак вокруг раскрытия. SecurityWeek сообщает, что компания watchTowr обнаружила первые попытки эксплуатации в дикой природе примерно в то время, когда были выпущены патчи, но не подтвердила успешный компромисс. Hadrian сказал SecurityWeek, что он наблюдал крупномасштабные попытки эксплуатации до того, как патчи были выпущены, сосредоточенные на пути кода загрузки прогресса сеанса PHP. Patchstack, Cloudflare и Vega зафиксировали попытки в день раскрытия, а Amazon сказал, что он выявил попытки эксплуатации за четыре дня до выпуска патчей.

Почему масштаб PHP делает это значительным

PHP была создана датско-канадским программистом Расмусом Лердорфом, впервые выпущена в 1995 году и остается одним из наиболее широко используемых языков программирования на стороне сервера для создания веб-сайтов, согласно Википедии. Тот же источник отмечает, что по состоянию на ноябрь 2025 года более половины веб-сайтов на основе PHP все еще работали на неподдерживаемом ветвлении PHP 7, и около 9.7% все еще использовали PHP 5, которая была прекращена много лет назад — паттерн устаревшего ПО, который исследователи безопасности говорят, усложняет быстрое исправление по всей экосистеме PHP.