Две уязвимости PHP2Shell с оценкой 9,2 по CVSS v4 позволяют удалённо выполнить код на веб-сервере без учётной записи. Для компаний, у которых PHP живёт не только в легаси-разделе, но и в клиентских кабинетах, CMS, API и внутренних порталах, это повод не откладывать патч-окно: детали проблем утекли до планового раскрытия, а попытки эксплуатации уже замечены.
Речь идёт о CVE-2026-109618 и CVE-2026-109619, сообщает Dark Reading. Обе проблемы обнаружила консалтинговая компания Calif. Первая связана с повреждением памяти при нехватке памяти, вторая — с использованием устаревшего глобального состояния. В обоих случаях результат для атакующего один и тот же: возможность запустить свой код на сервере по сети, не проходя аутентификацию и не имея предварительного доступа.
Для администраторов это неприятный класс инцидента: защита на уровне приложения может не успеть помочь, если выполнение кода достигается до обработки самого приложения. Исследователи WatchTowr указывают, что в зоне риска находятся установки PHP, обслуживающие веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наиболее рискованной конфигурацией PHP Foundation называет mod_php. Один из подтверждённых путей к проблеме связан с функцией Session Upload Progress, включённой по умолчанию во многих развёртываниях.
Исправления выпущены в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Ветви ниже 8.2 уже не поддерживаются и штатного обновления для них нет: придётся либо переходить на поддерживаемую версию, либо использовать исправление, перенесённое дистрибутивом или поставщиком. Это важная развилка для команд, которые годами не трогали рантайм из-за опасений сломать старый код. В этот раз стоимость сохранения статус-кво может оказаться выше стоимости регресс-тестов.
Утечка превратила плановый релиз в гонку
Изначально сопровождающие PHP планировали экстренный релиз скоординированно раскрыть в среду в 14:00 UTC. Однако эмбарго сорвалось: в публичном поле появился proof-of-concept-инструмент PHP2Shell, а WatchTowr сообщила, что смогла воспроизвести обе уязвимости. Раннее предупреждение дало защитникам несколько лишних часов на инвентаризацию и подготовку патчей, но ровно тот же стартовый пистолет услышали и атакующие.
Джон Хэммонд, старший главный исследователь Huntress, в комментарии изданию обратил внимание на двойственный эффект утечки: она подтолкнула защитников быстрее искать уязвимые системы, но одновременно позволила злоумышленникам ускорить поиск целей и разработку эксплойтов, в том числе с помощью ИИ-инструментов. WatchTowr уже наблюдала попытки эксплуатации обеих проблем в реальной среде. По словам руководителя threat intelligence компании Джейка Нотта, успешных атак на момент публикации не зафиксировали, но рассчитывать на длительную паузу не стоит.
Практический приоритет здесь довольно приземлённый. Сначала нужно собрать список всех публично доступных PHP-сервисов, включая те, что спрятаны за балансировщиками, в старых виртуальных машинах или управляемом хостинге. Затем — сверить версию интерпретатора, способ запуска и наличие обновления у поставщика. Отдельного внимания требуют сервисы на mod_php и хосты, где PHP давно вышел из жизненного цикла. Huntress также рекомендует настроить оповещения на запуск PHP-воркерами оболочек, интерпретаторов и инструментов загрузки: это не патч, но полезный сигнал для расследования.
Для разработчиков уязвимости PHP2Shell — напоминание, что безопасность приложения не исчерпывается зависимостями Composer и проверкой пользовательского ввода. Уязвимым оказывается сам слой исполнения, а значит, в перечне критичных активов должны быть версии рантайма, модули веб-сервера, образы контейнеров и правила обновления базовых пакетов. Для бизнеса это ещё и аргумент против бесконечного откладывания модернизации: неподдерживаемая версия PHP превращает экстренный патч в проект с миграцией.
Проблема не заканчивается на php.net
Масштаб реакции показывает, насколько хрупка цепочка поставки открытого ПО. Национальный центр кибербезопасности Нидерландов, по данным Dark Reading, временно отключал сайты и сервисы, чтобы снизить риск и провести срочное обновление. Сопровождающие PHP подготовили исправления, а Linux-дистрибутивы получили их заранее. Но дальше патчи должны пройти через пакеты дистрибутивов, панели хостинга, образы облачных платформ, поставщиков ПО и команды, у которых нередко нет выделенных специалистов по безопасности.
Сравнение с Log4Shell напрашивается не потому, что проблемы идентичны, а из-за знакомой операционной картины: критическая ошибка в массовом open-source-компоненте быстро становится проверкой зрелости инвентаризации. В ближайшие дни главным показателем будет не число выпущенных бюллетеней, а скорость, с которой владельцы публичных PHP-серверов поймут, где именно они запущены и кто отвечает за обновление. Технические детали и наблюдения об эксплуатации собраны в материале .
