🚨 PHP2Shell: критическая дыра в самом PHP
Загружаем изображение…
🚨 PHP2Shell: критическая дыра в самом PHP
21 октября вышли экстренные обновления PHP для двух уязвимостей, CVE-2026-109618 и CVE-2026-109619. Обе оценены в 9,2 из 10 по CVSS.
Что это значит: злоумышленник может выполнить свой код на сервере без логина и пароля. Проблема не в плагине или CMS, а в самом интерпретаторе PHP. Поэтому под ударом любой сайт на PHP, даже идеально написанный. Проверка авторизации в приложении не помогает: PHP обрабатывает вредоносный запрос раньше, чем запускается код сайта.
Кого касается: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP, LiteSpeed. Значит, WordPress, Bitrix, Laravel и любой другой сайт на PHP. Больше всего риск при mod_php. Эксплойт уже показан: достаточно одного запроса.
Насколько всё серьёзно: исследователи ожидают волну атак. По оценке Sansec, массовая эксплуатация может начаться через 15 минут после публикации исправления. Разработчики PHP выпустили патчи даже для старых веток 7.4, 8.0 и 8.1, которые давно не поддерживаются. Так обычно не делают.
Обходного пути нет. Настройки, например, session.upload_progress.enabled=0, риск не закрывают. Защитить может только обновление.
Что делать:
Проверьте, какая версия PHP реально обслуживает ваш сайт. Это может отличаться от версии по умолчанию.
Обновитесь до 8.5.12, 8.4.27, 8.3.36 или 8.2.35.
Если PHP стоит из репозитория Remi, обновлений там может пока не быть. Берите пакеты дистрибутива.
Если у вас PHP 8.1 или старше, варианты такие: исправленные пакеты от дистрибутива, сборка из исходников с патчем или переход на 8.2+.
Если сервером управляет хостер, напишите ему сегодня и спросите, когда обновят PHP.
Не откладывайте: между публикацией исправления и атаками может пройти считанное время.
Источники:
Datadog Security Labs: https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php
Help Net Security: https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619
Securelist: https://securelist.com/tr/php2shell-critical-vulnerabilities-in-php/121596/
21 октября вышли экстренные обновления PHP для двух уязвимостей, CVE-2026-109618 и CVE-2026-109619. Обе оценены в 9,2 из 10 по CVSS.
Что это значит: злоумышленник может выполнить свой код на сервере без логина и пароля. Проблема не в плагине или CMS, а в самом интерпретаторе PHP. Поэтому под ударом любой сайт на PHP, даже идеально написанный. Проверка авторизации в приложении не помогает: PHP обрабатывает вредоносный запрос раньше, чем запускается код сайта.
Кого касается: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP, LiteSpeed. Значит, WordPress, Bitrix, Laravel и любой другой сайт на PHP. Больше всего риск при mod_php. Эксплойт уже показан: достаточно одного запроса.
Насколько всё серьёзно: исследователи ожидают волну атак. По оценке Sansec, массовая эксплуатация может начаться через 15 минут после публикации исправления. Разработчики PHP выпустили патчи даже для старых веток 7.4, 8.0 и 8.1, которые давно не поддерживаются. Так обычно не делают.
Обходного пути нет. Настройки, например, session.upload_progress.enabled=0, риск не закрывают. Защитить может только обновление.
Что делать:
Проверьте, какая версия PHP реально обслуживает ваш сайт. Это может отличаться от версии по умолчанию.
Обновитесь до 8.5.12, 8.4.27, 8.3.36 или 8.2.35.
Если PHP стоит из репозитория Remi, обновлений там может пока не быть. Берите пакеты дистрибутива.
Если у вас PHP 8.1 или старше, варианты такие: исправленные пакеты от дистрибутива, сборка из исходников с патчем или переход на 8.2+.
Если сервером управляет хостер, напишите ему сегодня и спросите, когда обновят PHP.
Не откладывайте: между публикацией исправления и атаками может пройти считанное время.
Источники:
Datadog Security Labs: https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php
Help Net Security: https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619
Securelist: https://securelist.com/tr/php2shell-critical-vulnerabilities-in-php/121596/