PHP2Shell: два критических недостатка PHP, которые отключили правительственные сайты

PHP2Shell — это прозвище двух уязвимостей в самом языке программирования PHP, а не в каком-либо отдельном веб-сайте или приложении. Они отслеживаются как CVE-2026-109618 и CVE-2026-109619, и команда безопасности PHP оценила обе как 9,2 из 10 по шкале CVSS v4.0, ее категорию 'критических', согласно официальной странице архива проекта PHP за 2026 год.

Что именно делают эти два недостатка

Согласно официальному уведомлению PHP, CVE-2026-109618 срабатывает, когда PHP исчерпывает память при обработке веб-запроса. Ошибка нехватки памяти может прервать PHP до полной инициализации внутренних данных запроса, и процесс очистки, который следует за этим, может затем рассматривать эти неполные данные как действительные, что может привести к повреждению памяти и удаленному выполнению кода.

CVE-2026-109619 описывается PHP как ошибка 'устаревшего глобального состояния': данные, связанные с одним запросом посетителя, могут оставаться в памяти сервера после того, как они должны были быть очищены, и следующий запрос посетителя, обработанный тем же рабочим процессом, может в итоге действовать на эти остатки. Компания безопасности watchTowr, которая управляет глобальной сетью систем мониторинга, сказала, что оба ошибки позволяют злоумышленнику запускать код без необходимого входа, до того как начинает выполняться собственный код веб-сайта.

Голландская компания безопасности Sansec добавила дополнительные технические детали, сказав, что один из путей к эксплуатации проходит через функцию 'прогресс загрузки' сеанса PHP и может раскрыть такие данные, как пароли, ключи API и ключи шифрования, которые случайно оказались в памяти сервера из других, несвязанных запросов.

Почему столько веб-сайтов были подвергнуты риску

Недостатки находятся внутри движка PHP, поэтому любой веб-сайт или приложение, разработанные на PHP, потенциально подвергаются риску, независимо от того, какая система управления контентом работает сверху. Это включает широко используемые платформы, такие как WordPress, Drupal, Joomla, Magento и Nextcloud, согласно Sansec. PHP остается одним из наиболее широко используемых языков программирования на стороне сервера в Интернете, что является одной из причин, по которым эти недостатки рассматривались как представляющие широкий, крупномасштабный риск.

Исследователи безопасности в компании Wiz выявили недостатки, и Help Net Security сообщила, что исследователи сказали, что достижения в инструментах frontier AI значительно снизили технический барьер для превращения давно известной, сложной для эксплуатации проблемы обработки памяти в рабочий эксплуатационный код.

Почему правительства отключили сайты

Технические детали недостатков просочились до того, как официальный патч PHP был готов, сокращая обычное преимущество защитников, которое они получают до того, как патч становится общественным. Блог безопасности Safeguard сообщил, что 21 октября 2026 года Нидерланды отключили услуги, включая сайт собственного национального центра кибербезопасности, Overheid.nl, веб-сайт Палаты представителей и несколько сайтов больниц и политических партий в качестве предосторожности. Государственный поставщик ИТ Финляндии Valtori отключил службы государственной сети в качестве предосторожности, и муниципальная ИТ-компания Дании Kombit отключила несколько служб, включая национальную платформу общения школ. Министерство внутренних дел Франции временно отключило сайты префектур и местных административных органов, сказав, что ждет применения патча PHP. Федеральный поставщик ИТ Германии ITZBund и Министерство иностранных дел Бельгии также отключили сайты, хотя Safeguard сообщил, что они дали разные причины: ITZBund сказал, что не знает об инцидентах безопасности, а Министерство иностранных дел Бельгии ссылалось на сообщения об атаках.

watchTowr сказала, что ее сеть honeypot, Attacker Eye, записала попытки реальной эксплуатации, начиная с 21 октября 2026 года, на день позже утечки и в день, когда PHP опубликовала свой патч.

Сравнение двух недостатков

Как защитить свой сайт и свои данные

1. Если вы запускаете веб-сайт на PHP: обновитесь до исправленной версии — PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 — и затем перезагрузите все рабочие процессы PHP, так как PHP-консультация и runZero подчеркивают, что обновление — это единственное полное решение.
2. Если вы все еще используете PHP 7.4, 8.0 или 8.1, которые больше не получают официальные обновления, получите обратный портированный патч безопасности от вашего дистрибутива Linux или поставщика хостинга, так как проект PHP прекратил поддержку этих веток, согласно странице архива PHP.
3. До тех пор, пока вы не сможете установить патч, runZero рекомендует промежуточные шаги на уровне сервера или прокси: ограничить лимиты памяти, чтобы приложения не могли их превышать, применять низкие лимиты размера запроса и загрузки многочастных, а также отключить функцию 'прогресс загрузки' сеанса.
4. Проверьте журналы доступа веб-сервера на предмет необычных POST-запросов multipart/form-data, которые, по словам Sansec, являются обычными при известных попытках эксплуатации, и следите за неожиданными скачками памяти PHP или фатальными ошибками.
5. Как рядовой пользователь Интернета вы не можете установить патч на серверы, которыми не управляете, но вы можете следить за уведомлениями о нарушениях от служб, которые вы используете, использовать уникальный пароль для каждой учетной записи и включить двухфакторную аутентификацию, чтобы утекший пароль один был недостаточен для доступа к вашим учетным записям.

Что остается неясным

По состоянию на рассмотренные отчеты, среди экспертов было разногласие относительно того, насколько широким было активное использование в то время, когда несколько правительств решили отключить сайты; Safeguard сообщил, что голландское правительство сказало, что оно не видело признаков активной эксплуатации, когда оно действовало, в то время как watchTowr отдельно подтвердил реальные попытки атак против своих honeypots на следующий день.