PHP2Shell: Критические уязвимости PHP вызывают глобальную волну патчей и закрытие сайтов

21 октября 2026 года проект PHP выпустил экстренные обновления — версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — для исправления двух критических уязвимостей безопасности, которые исследователи безопасности и производители назвали "PHP2Shell", согласно Help Net Security и Центру кибербезопасности Канады. Эти уязвимости отслеживаются как CVE-2026-109618 и CVE-2026-109619, обе описаны как критические по степени серьезности; источники, проверенные для этой статьи, не привели официальный числовой балл CVSS.

Что делает уязвимость

Обе уязвимости являются ошибками безопасности памяти в том, как PHP обрабатывает запросы при ненормальных условиях, согласно Bleeping Computer и Help Net Security. CVE-2026-109618 возникает, когда ошибка нехватки памяти прерывает PHP, пока внутренние данные запроса только частично установлены, поэтому процедуры очистки позже трактуют эти неполные данные как действительные. CVE-2026-109619 — это уязвимость устаревшего состояния: память, связанная с одним запросом, может быть освобождена и затем переиспользована более поздним запросом на том же рабочем процессе до того, как она будет должным образом сброшена, что может привести к утечке данных или позволить выполнить код.

Центр кибербезопасности Канады классифицировал обе как уязвимости Use-After-Free (CWE-416) и сказал, что успешная атака позволяет неавторизованному злоумышленнику запустить произвольный код на сервере без необходимости пароля или каких-либо действий со стороны пользователя. Агентство сказало, что развертывания mod_php сталкиваются с наибольшим риском, поскольку демонстрационный эксплуатационный код может быть активирован до того, как любой код приложения получит возможность запуститься — описание, также используемое командой безопасности PHP, согласно сообщениям Bleeping Computer.

Ошибка влияет на каждую установку PHP, которая обслуживает веб-запросы, включая PHP-FPM, Apache's mod_php, php-cgi, FrankenPHP и LiteSpeed, согласно Bleeping Computer и канадскому справочнику. Базовый код существовал в PHP более десяти лет, сообщает Fortune, хотя официальные исправления были выпущены для активно поддерживаемых ветвей 8.2–8.5, с исходным кодом исправления, сделанным доступным для 7.4–8.1, которые вышли за рамки сроков поддержки.

Как это было обнаружено и почему здесь важен AI

Согласно Fortune, ошибочный код существовал в PHP более десяти лет, но три отдельные стороны сошлись на нем в августе 2026 года: компания безопасности Wiz, компания Calif и OpenAI, работающие с PHP Foundation над исправлением и координированным раскрытием. Fortune сообщает, что Wiz использовала модели AI, включая GPT-5.6 Sol от OpenAI и Gemini 4 Argon от Google, чтобы помочь понять слабость и превратить ее в работающий эксплуатационный код. Wiz рассказала Fortune, что этот случай представляет сдвиг, обусловленный AI, говоря, что хотя уязвимый код существовал более десяти лет, то, что изменилось, это способность исследователей использовать AI для понимания слабостей и превращения их в работающий эксплуатационный код.

Fortune также сообщает, что OpenAI, в своем собственном заявлении, сказала, что этот эпизод показал, как AI может помочь выявить уязвимости безопасности с влиянием в масштабе Интернета, одновременно признавая, что те же возможности AI также могут помочь злоумышленникам разрабатывать наступательные инструменты и эксплуатационные коды более быстро.

Попытки эксплуатации и ранний ответ Cloudflare

Cloudflare сообщила в своем собственном блоге, что активировала правила Web Application Firewall в 03:02 UTC 21 октября, что она описала примерно за девять часов до публичного раскрытия уязвимостей. Компания развернула семь "Generic Rules – Anomalous Execution" для клиентов бесплатного уровня и отдельный набор семи эквивалентных правил для платных планов, плюс одно дополнительное правило, которое проверяет как запрос, так и ответ в одной и той же транзакции, согласно сообщению Cloudflare, как кратко изложено ppc.land. Это же сообщение сказало, что Cloudflare наблюдала, как злоумышленники впоследствии изменяли свои полезные нагрузки эксплуатации в видимой попытке избежать новых правил, хотя она не опубликовала точные цифры объема атак.

Отдельно, команда Threat Intelligence Amazon сказала, что она обнаружила попытки эксплуатации уязвимостей, начиная с 17 октября 2026 года — четыре дня до публичного патча — согласно Bleeping Computer, предполагая, что некоторые злоумышленники имели доступ к деталям эксплуатационного кода до общего раскрытия. В отличие от этого, справочник Центра кибербезопасности Канады указал, что на момент его написания активная эксплуатация не была выявлена, при этом предупредив, что ситуация может измениться быстро. Эти две оценки отражают различные точки наблюдения и время, а не фактическое противоречие.

Япония: правительство требует патч или закрытие

Уязвимость привлекла особенно интенсивное внимание в Японии. Национальное управление кибербезопасности Японии, организация-преемник NISC, реорганизованная в июле 2025 года, выпустила справочник, призывающий операторов проверить, работают ли их веб-сайты на PHP и действовать быстро, согласно отчету BigGo Finance об утверждении агентства. Премьер-министр Sanae Takaichi разместила на X сообщение, называя это "срочной просьбой для всех ответить сегодня вечером", и сказала, что временное приостановление веб-сайта может быть эффективным способом снизить риск, если немедленное исправление не было возможным, сообщает BigGo Finance.

Следуя этому руководству, несколько японских онлайн-сервисов перешли в режим экстренного обслуживания в ночь на 21 октября, включая платформу управления детскими садами CoDMON, карточную игру Shadowverse: Worlds Beyond, конструктор онлайн-магазинов BASE и хостинг-провайдера Sakura Internet, согласно отчету BigGo Finance. Официальные патчи PHP были выпущены около 22:40 по японскому времени, раньше первоначально запланированной 23:00, сообщает тот же отчет.

Отдельно, Internet Watch (Impress) сообщила, что японский провайдер коммуникаций Baltec приостановил около 23 сервисов — охватывающих облако, бронирование, точки продаж и инструменты управления расходами — после обнаружения несанкционированного доступа с возможной утечкой личных данных. Baltec первоначально приписала инцидент кибератаке, нацеленной на уязвимость PHP, но компания издала исправление в тот же день, сказав, что фактической причиной была уязвимость в собственном сервисе, а не в уязвимости PHP, после того, как сказала, что запутала эти два вопроса при проверке своих мер безопасности PHP. Baltec нацелена на восстановление сервиса к 26 октября, сообщает Internet Watch.

Масштаб воздействия

PHP обеспечивает работу примерно 70% веб-сайтов во всем мире, включая сайты WordPress, Wikipedia, Microsoft.com и Archive.org, сообщает Fortune, ссылаясь на то, что примерно 40% всех веб-сайтов работают на WordPress, который сам зависит от PHP. Fortune также ссылается на первоначальное сканирование, выявившее 22,6 миллиона потенциально уязвимых экземпляров PHP, подверженных воздействию в Интернете.

Что остается неизвестным

По доступным отчетам ни один источник не подтверждает успешное крупномасштабное нарушение, непосредственно вызванное эксплуатацией PHP2Shell, в отличие от предусмотрительного закрытия. Цифры по общему количеству попыток эксплуатации варьируются по источнику и окну измерения: генеральный директор Cloudflare был процитирован в японском освещении через Yahoo! News как описывающий количество попыток, растущих с тысяч до раскрытия к десяткам тысяч в течение 45 минут и достигающих сотен тысяч в течение двух часов, с общей суммой, описанной как достигающей миллионов к моменту этого отчета; собственный блог Cloudflare не повторил эти конкретные цифры. Читатели должны рассматривать точные числа объема атак как предварительные и подлежащие изменению организациями, которые их отслеживают.