Уважаемые коллеги, информируем вас о выявлении двух критических уязвимостей в PHP, получивших общее название PHP2Shell:
- CVE-2026-109618
- CVE-2026-109619
21 октября 2026 года разработчики PHP официально подтвердили наличие данных уязвимостей и выпустили обновления безопасности.
Уровень критичности оценивается в 9,2 балла из 10 по шкале CVSS 4.0.
В чём заключается угроза?
Уязвимости потенциально позволяют злоумышленникам удаленно выполнять произвольный код на сервере без прохождения авторизации.
При успешной эксплуатации возможны несанкционированный доступ к данным, компрометация веб-приложений и нарушение работы информационных систем.
Какие версии PHP затронуты?
Для устранения уязвимостей выпущены следующие исправленные версии:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Более ранние версии соответствующих веток потенциально уязвимы. Для PHP 8.1 и более старых версий требуется отдельная проверка наличия исправлений от поставщика ОС либо переход на поддерживаемую версию.
Планируемые мероприятия
В целях минимизации рисков информационной безопасности планируется:
1. Провести инвентаризацию используемых версий PHP на серверах.
2. Проверить применимость указанных уязвимостей к используемой инфраструктуре.
3. Определить необходимые обновления и оценить их совместимость с действующими веб-приложениями.
4. Подготовить план установки исправлений с учетом возможного влияния на работу сервисов.
5. После согласования выполнить необходимые обновления и контрольные проверки.
В сети также распространяется демонстрация инструмента PHP2Shell, приписываемого исследователям Calif.IO. На видеозаписи показан предполагаемый запуск команд на серверах с WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS. Демонстрация охватывает как Apache с модулем PHP, так и конфигурации PHP-FPM. Однако независимой проверки всех показанных сценариев пока нет, поэтому универсальность эксплойта остаётся неподтверждённой.
Официальные источники:
1. PHP — официальное уведомление разработчиков:
https://www.php.net/archive/2026.php#2026-10-21-5
2. ENISA — совместное предупреждение европейских органов кибербезопасности:
https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities
3. NHS England — техническое описание уязвимостей и рекомендации:
https://digital.nhs.uk/cyber-alerts/2026/cc-4875
👇На случай любых происшествий: Мы рядом.
По всем вопросам ждем у нас, в компании 1С-Успех.
Напишите нам) И получите бесплатную консультацию с чего начать!
+7(383)242-72-52 или +7(923)158-50-48 номер для текстовых заявок (telegram, мах).
🚀 Переходите на наш сайт или МАХ-канал, чтобы ознакомиться с возможностями:
1c-uspeh.ru/
#кибербезопасность #1суспех #лайфхаки #киберпреступность #советы #автоматизацияc1суспех #интернетбезопасность