ЭТО ВАЖНО!

PHP2SHELL: ломают сам язык, а не ваш код

Коллеги, 21 октября команда PHP выпустила внеочередные патчи. В ядре языка нашли две критические уязвимости (CVE-2026-109618 и CVE-2026-109619) с оценкой 9.2 из 10, названные исследователями PHP2Shell.

Главная боль: это дыра НЕ в вашем коде и НЕ в плагинах, а в самом интерпретаторе!

Атакующему не нужен ваш логин или баг в приложении. Он просто шлёт запрос, вызывающий исчерпание памяти (memory_limit) или фатальную ошибку.

Механизм обработки ошибок в PHP некорректно убирает за собой мусор, оставляя use-after-free в памяти, который хакер использует для удаленного выполнения шелл-кода (RCE).

Масштаб пугает: PHP работает на трёх четвертях веба. Уязвимы все версии, начиная с 5.4. Эксплойты уже подтверждены на свежих контейнерах WordPress, Drupal, Joomla и Magento. Под ударом даже простая страница «Hello World».

Что делать прямо сейчас:

1. Обновите PHP до 8.2.35, 8.3.36, 8.4.27 или 8.5.12.

2. Обязательно перезапустите воркеры (php-fpm / Apache)! Просто обновить пакеты мало, дыра живёт в процессах.

3. Если вы на 8.1 или старее — официальных патчей нет. Ищите бэкпорты от вендора дистрибутива или срочно планируйте переезд.

4. Временно отключите в php.ini опцию session.upload_progress.enabled=0 — она закрывает один из векторов.

5. Если обновить нельзя, а сервер смотрит в интернет — временно закройте его от внешнего мира.

Ваш код может быть идеальным, но если дырявый фундамент — сервер уже не ваш.

Всем удачи и поможет нам Ктулху...