❌ PHP2Shell: обнаружены критические уязвимости в PHP

Исследователи сообщили о двух уязвимостях удаленного выполнения кода — CVE-2026-109618 и CVE-2026-109619, известных как PHP2Shell. Команда PHP оценила каждую в 9,2 балла по CVSS v4.0 (критический уровень). О первых атаках уже заявил CTO Cloudflare, пишет Reuters.

Выход исправлений планируется на 21 октября, 17:00 (МСК). Список затронутых и исправленных версий опубликуют вместе с обновлением.

Гарда WAF защищает веб-приложения и API: анализирует трафик, выявляет аномалии, применяет правила фильтрации и снижает риск атак, в том числе через ранее неизвестные уязвимости. Такие компенсирующие меры особенно актуальны до установки патчей, но обновление PHP не заменяют.

По предварительной оценке GMO Flatt Security, PHP2Shell связан с обработкой сессий и механизмом Session Upload Progress в ext/session. В качестве частичной меры обсуждается отключение функции:

session.upload_progress.enabled = Off

Одной этой настройки недостаточно. По оценке исследователей, после ее изменения эксплуатация может оставаться возможной. Считать сервер защищенным только на основании отключения функции нельзя.

Рекомендуем проверить используемые версии PHP, подготовить установку исправлений и усилить мониторинг веб-приложений. Для проверки настроек Гарда WAF и применимости защитных правил к PHP2Shell обратитесь в техническую поддержку.