⚡️ PHP2Shell: уязвимость, которая жила в PHP 14 лет и затрагивает 70% сайтов

Разработчики PHP выпустили экстренные патчи для двух критических уязвимостей CVE–2026–109618 и CVE–2026–109619 (9,2 CVSS), получивших общее название PHP2Shell. Обе проблемы позволяют удалённо выполнять код без аутентификации.

Масштаб

Под угрозой практически все версии PHP начиная с 5.4 — то есть уязвимые механизмы присутствовали в коде больше 14 лет. PHP используется примерно на 70% сайтов, а по оценке VirusTotal, в сети доступны более 5,1 млн PHP-хостов, у 3,8 млн из которых открыт хотя бы один порт.

Что уже происходит:

— Попытки эксплуатации фиксировали ещё до выхода патчей

— Эксперты Cloudflare, Hadrian, Patchstack, Vega и watchTowr уже видят атаки в реальных условиях

— Wikipedia и Internet Archive временно были недоступны из-за уязвимостей

— В Нидерландах ушли в офлайн государственные порталы MijnOverheid и DigiD, в Германии массово отключали сайты

Что делать:

✔️ Установить PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35

✔️ Перезапустить PHP-FPM, Apache и другие долгоживущие воркеры

✔️ Проверить логи на признаки компрометации — попытки эксплуатации были до патчей

✔️ Если обновить невозможно — изолировать сервер от интернета

💬 Servicepipe в VK