PHP2Shell: Две критические уязвимости PHP вызывают глобальные отключения сайтов

PHP, язык сценариев, обслуживающий значительную долю серверной части кода в Интернете, был поражен двумя критическими уязвимостями, раскрытыми в октябре 2026 года. Коллективно названные «PHP2Shell» и отслеживаемые как CVE-2026-109618 и CVE-2026-109619, эти ошибки позволяют злоумышленнику без учетной записи или пароля выполнять произвольный код на затронутом веб-сервере.

Что делают уязвимости

По словам компании безопасности watchTowr, CVE-2026-109618 возникает, когда PHP исчерпывает память посередине настройки входящего запроса, оставляя внутренние данные запроса только частично инициализированными; подпрограмма очистки PHP ошибочно трактует эти недопустимые данные как допустимые. CVE-2026-109619 связан с внутренним состоянием, привязанным к одному запросу и сохраняющимся после того, как память, на которую оно указывает, уже освобождена, поэтому более поздний запрос, обработанный тем же рабочим процессом, может использовать это устаревшее состояние перед тем, как нормальная инициализация его сбросит.

Исследовательская фирма Wiz, которая изучила эти уязвимости, сообщила Help Net Security, что эти проблемы оставались незамеченными в течение многих лет и занимают место среди наиболее серьезных ошибок, когда-либо обнаруженных в языке. Помимо полного удаленного выполнения кода, watchTowr сказал, что эти ошибки также могут привести к краху рабочих процессов PHP, позволить произвольное чтение файлов или утечку памяти сервера.

Кто это нашел и когда

Две уязвимости были сообщены в результате отдельных исследований. Консультация watchTowr приписывает обнаружение команде безопасности Calif, в то время как освещение Help Net Security приписывает выявление и раскрытие исследователям из Wiz. Временная шкала раскрытия была необычной: информация, которая должна была оставаться под эмбарго, утекла публично 20 октября 2026 года, и watchTowr подтвердил подлинность утекшей информации. Разработчики PHP ответили, выпустив патчи на день раньше запланированной даты 22 октября, в 14:00 UTC 21 октября 2026 года.

Масштаб: кто запускает уязвимый PHP

PHP остается одним из наиболее широко используемых языков на стороне сервера в Интернете, и уязвимости могут влиять на любую настройку, которая обрабатывает входящие HTTP-запросы через него. Затронутые настройки включают PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed, по словам watchTowr, что означает, что ошибка находится на уровне сервера, а не в каком-либо одном приложении.

Поскольку PHP 7.4, 8.0 и 8.1 больше не поддерживаются официально, watchTowr говорит, что нет патча от основного проекта PHP для сайтов, все еще работающих на этих ветках, хотя обратные порты дистрибутива Linux или поставщика долгосрочной поддержки могут быть доступны в качестве временного варианта; в противном случае эти установки должны перейти на поддерживаемую ветку. PHP 7.3 и старше вообще не имеют исправления, по словам watchTowr. Консультация PHP указывает, что изменение конфигурации полностью не закрывает уязвимости без обновления программного обеспечения.

Влияние и эксплуатация

Help Net Security сообщил, что сеть honeypot, управляемая Amazon, обнаружила попытки эксплуатации 17 октября 2026 года — за четыре дня до публичного патча — что предполагает, что некоторые злоумышленники имели ранний доступ к деталям эксплуатации. WatchTowr сказал, что его собственная сеть honeypot «Attacker Eye» наблюдала активную эксплуатацию в дикой природе, продолжающуюся после выпуска патча 21 октября. Системы управления контентом, построенные на PHP, включая WordPress, Drupal и Joomla, а также приложения на основе Laravel и платформы электронной коммерции, все находятся в затронутом диапазоне, потому что они работают на уязвимом механизме PHP.

По мере развертывания патчей государственные учреждения, онлайн-форумы, игровые платформы и некоторые связанные с инфраструктурой сайты были отключены в целях предосторожности, пока операторы применяли исправления, согласно освещению, резюмированному в записи PHP2Shell в Википедии. Национальный центр кибербезопасности Великобритании рекомендовал организациям, которые не могли немедленно применить патчи, вместо этого отключить уязвимые системы, сообщила Help Net Security.

Оценка важности и что должны делать операторы сайтов

Разработчики PHP сами оценили обе уязвимости на 9.2 из 10 по шкале CVSS v4.0, что является «критической» оценкой, по словам консультации watchTowr. Четкий путь устранения, согласно консультациям PHP и watchTowr, заключается в обновлении до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 в зависимости от того, какую ветку запускает сервер; сайты на 7.4, 8.0 или 8.1 должны использовать обратный портал дистрибутива или перейти на поддерживаемую ветку, в то время как серверы на 7.3 или старше не имеют доступного исправления и должны быть обновлены.