Обнаружены две критические уязвимости в PHP

Сегодня все, у кого WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal, WHMCS и вообще что угодно на PHP — как на этом кадре из фильма «Человек-паук 2».

Если вы вдруг еще не в курсе, речь про PHP2Shell — две критические уязвимости, которые позволяют взломать сервер без пароля (кстати, их помогла обнаружить модель GPT-5.6 Sol). Из-за них по всему миру отключают сайты, государственные ресурсы и даже онлайн-игры.

Уязвимости CVE-2026-109618 (PT-2026-118596) и CVE-2026-109619 (PT-2026-118597) получили оценку 9,2 из 10 по шкале CVSS 4.0. С их помощью злоумышленники могут удаленно запускать свой код на сервере без аутентификации.

Проблема затрагивает разные способы запуска PHP, в том числе PHP-FPM и Apache с mod_php. По данным Cloudflare, уже появились первые признаки атак, а в открытом доступе распространяется код для эксплуатации уязвимостей.

Главная рекомендация — как можно скорее обновить PHP. Исправления вышли в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

🔥 Для пользователей PT Application Firewall мы подготовили дополнительные меры защиты.

В PT AF Cloud защитное правило уже доступно для включения в личном кабинете.

Для PT Application Firewall PRO и PT Application Firewall 3 меры защиты и инструкции по их применению можно получить через техническую поддержку Positive Technologies.

Важно: эти меры не заменяют необходимость обновления PHP. Но и отключать сервера — тоже не нужно. PoC до сих пор выходят, и наша команда внимательно следит за ними, чтобы актуализировать правила защиты.

@Positive_Technologies