**PHP2Shell: критическая уязвимость в PHP, АНБ рекомендует отключать серверы**
21–22 октября мир накрыла волна экстренных отключений веб-сервисов: АНБ США и Национальный центр кибербезопасности Великобритании выпустили рекомендацию отключать от сети сайты на PHP, если нет возможности срочно установить патчи.
Причина — две критические уязвимости, получившие название PHP2Shell.
Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют удалённо выполнять код без авторизации.
Под удар попали все версии PHP начиная с 5.4.
Патчи вышли 21 октября: 8.5.12, 8.4.27, 8.3.36, 8.2.35.
АНБ подчёркивает: это ошибки самого языка, а не конкретного приложения.
Уязвимости нашли исследователи из OpenAI, Calif и Wiz с помощью передовых ИИ-моделей — по словам Wiz, один человек за неделю сделал то, на что раньше уходили месяцы командной работы.
Утечка деталей произошла до выхода исправлений, и Cloudflare зафиксировал рост попыток эксплуатации с нескольких тысяч до миллионов.
Массовые отключения затронули госсектор и бизнес по всему миру: федеральный ИТ-провайдер Германии, сайты французских префектур, МИД Бельгии, правительство Чехии, Nomura, Mitsubishi UFJ, ANA, East Japan Railway, налоговую Японии.
Южная Корея повысила уровень киберугрозы. Сатья Наделла признался, что не видел подобного давно.
Финское агентство Valtori предупредило: восстановление может занять недели.
В тот же день прилетело ещё несколько неприятностей: четыре уязвимости в Node.js (одна с удалённым выполнением кода), взлом опенсорсного ИИ-прокси LiteLLM с публикацией вредоносных релизов, компрометация закрытых ключей удостоверяющего центра eMudhra. Wiz сравнивает PHP2Shell с Heartbleed 2014 года, отмечая, что лежащие в основе баги существовали десятилетиями, а ИИ резко снизил порог для создания эксплойта.
🛠 Мнение DevGeek.IT:
Ситуация пугает, но не удивляет.
PHP — это фундамент 70% веба, и десятилетия накопленного технического долга никуда не делись.
ИИ-инструменты теперь позволяют находить такие дыры быстро и дёшево — это одновременно и благо, и проклятие: находки утекают раньше патчей, а злоумышленники вооружаются за часы.
Отключать серверы — это радикально, но если у вас нет возможности немедленно обновиться, лучше перестраховаться.
И да, если вы всё ещё держите PHP 5.4 — вы либо мазохист, либо у вас очень веские причины.
Пора взрослеть.
21–22 октября мир накрыла волна экстренных отключений веб-сервисов: АНБ США и Национальный центр кибербезопасности Великобритании выпустили рекомендацию отключать от сети сайты на PHP, если нет возможности срочно установить патчи.
Причина — две критические уязвимости, получившие название PHP2Shell.
Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют удалённо выполнять код без авторизации.
Под удар попали все версии PHP начиная с 5.4.
Патчи вышли 21 октября: 8.5.12, 8.4.27, 8.3.36, 8.2.35.
АНБ подчёркивает: это ошибки самого языка, а не конкретного приложения.
Уязвимости нашли исследователи из OpenAI, Calif и Wiz с помощью передовых ИИ-моделей — по словам Wiz, один человек за неделю сделал то, на что раньше уходили месяцы командной работы.
Утечка деталей произошла до выхода исправлений, и Cloudflare зафиксировал рост попыток эксплуатации с нескольких тысяч до миллионов.
Массовые отключения затронули госсектор и бизнес по всему миру: федеральный ИТ-провайдер Германии, сайты французских префектур, МИД Бельгии, правительство Чехии, Nomura, Mitsubishi UFJ, ANA, East Japan Railway, налоговую Японии.
Южная Корея повысила уровень киберугрозы. Сатья Наделла признался, что не видел подобного давно.
Финское агентство Valtori предупредило: восстановление может занять недели.
В тот же день прилетело ещё несколько неприятностей: четыре уязвимости в Node.js (одна с удалённым выполнением кода), взлом опенсорсного ИИ-прокси LiteLLM с публикацией вредоносных релизов, компрометация закрытых ключей удостоверяющего центра eMudhra. Wiz сравнивает PHP2Shell с Heartbleed 2014 года, отмечая, что лежащие в основе баги существовали десятилетиями, а ИИ резко снизил порог для создания эксплойта.
🛠 Мнение DevGeek.IT:
Ситуация пугает, но не удивляет.
PHP — это фундамент 70% веба, и десятилетия накопленного технического долга никуда не делись.
ИИ-инструменты теперь позволяют находить такие дыры быстро и дёшево — это одновременно и благо, и проклятие: находки утекают раньше патчей, а злоумышленники вооружаются за часы.
Отключать серверы — это радикально, но если у вас нет возможности немедленно обновиться, лучше перестраховаться.
И да, если вы всё ещё держите PHP 5.4 — вы либо мазохист, либо у вас очень веские причины.
Пора взрослеть.
Просмотры: 5