Американское агентство CISA внесло уязвимости PHP2Shell в каталог известных активно эксплуатируемых проблем безопасности. Речь о двух критических ошибках в PHP, которые позволяют атакующему без привилегий при сложной атаке добиться удалённого выполнения кода на непропатченной системе. Для команд, поддерживающих PHP-проекты, это не очередной пункт в бэклоге: проверять версии и обновления нужно сейчас, сообщает BleepingComputer.
Проблемы получили идентификаторы CVE-2026-109618 и CVE-2026-109619. PHP Security Team выпустила исправления 21 октября — на следующий день после того, как призвала администраторов установить готовящиеся обновления сразу после публикации. К тому моменту технические детали, CVE и меры смягчения, переданные поставщикам критической инфраструктуры, уже утекли. В сети появились и proof-of-concept-эксплойты, но команда PHP заявляла, что опубликованные варианты не работали.
Это не помешало атакующим начать разведку раньше патчей. Исследователи Amazon Threat Intelligence зафиксировали попытки эксплуатации за четыре дня до выхода обновлений. Несколько компаний — Cloudflare, Amazon, Hadrian, watchTowr, Previdian и Patchstack — также наблюдали массовую активность до публичного раскрытия, хотя первоначально помечали попытки как неуспешные. Теперь статус изменился: руководитель направления detection and response в Perplexity Адель Карими подтвердил эксплуатацию в реальной среде. Его honeypot зафиксировал удалённое выполнение кода против Apache mod_php с PHP 8.4.26.
Включение в Known Exploited Vulnerabilities Catalog означает, что CISA считает риск подтверждённым, а не теоретическим. Агентство предписало федеральным гражданским ведомствам США устранить проблему до четверга в рамках Binding Operational Directive 26-04. Формально директива касается только федеральных структур, но её практический смысл шире: если уязвимость попала в KEV, она уже получила достаточное внимание атакующих и должна подниматься в очереди выше большинства обычных CVE.
PHP остаётся слишком распространённым, чтобы относиться к этой истории как к узкому инциденту одного стека. По оценке VirusTotal, PHP используется примерно на 70% сайтов; в интернете доступно более 5,1 млн PHP-хостов, а около 3,8 млн экземпляров имеют хотя бы один открытый для атак порт. Эти цифры не говорят, что каждый такой сервер уязвим, но хорошо объясняют интерес преступных групп: одна ошибка в массовой платформе создаёт огромный пул потенциальных целей.
Для разработчиков и DevOps-команд приоритет очевиден: инвентаризировать все серверы, контейнеры и образы, где PHP работает под Apache mod_php, проверить установленную ветку и применить актуальные патчи PHP. Особое внимание стоит уделить забытым внутренним сервисам, legacy-приложениям, тестовым стендам с внешним доступом и образам в CI/CD. Наличие WAF, обратного прокси или закрытого административного интерфейса не заменяет обновление: атака на интерпретатор происходит ниже уровня привычных защитных сценариев.
После установки обновлений полезно проверить журналы веб-сервера и системные события за период до и после 21 октября. Насторожить должны необычные запросы к PHP-обработчикам, неожиданные дочерние процессы Apache/PHP, создание файлов в каталогах приложения и исходящие соединения с серверов, которые обычно только принимают HTTP-трафик. Если в организации нет полной картины версий runtime, этот инцидент — хороший, хотя и неприятный повод её собрать.
Отдельно PHP Security Team 23 октября сообщила о ещё одной RCE-уязвимости — CVE-2026-115560. Патча для неё пока нет; эксплуатация возможна при необычном сочетании конфигурации и кода приложения. Это не повод выключать PHP из паники, но повод не ограничиваться закрытием двух CVE: стоит сверить конфигурации с рекомендациями команды PHP и уменьшить доступность сервисов, которые не обязаны смотреть в интернет.
Уязвимости PHP2Shell показывают знакомую, но неприятную механику: утечка деталей, ранняя активность, выпуск патча, а затем подтверждённая эксплуатация — всё укладывается в считаные дни. В ближайшее время ключевой вопрос не в том, появятся ли новые сканирования и готовые цепочки атак, а в том, какая доля публичных PHP-инсталляций успеет обновиться до того, как сканирование сменится массовыми компрометациями.
