PHP2Shell: две критические уязвимости PHP и действия

Что опубликовано и почему требуется действие

По состоянию на22октября2026. PHP выпустил21октября обновления для CVE-2026-109618 и CVE-2026-109619, известных как PHP2Shell. Проблема в движке обработки веб-запросов, не только CMS-плагине. Эксплуатация может разрешить выполнение кода без аутентификации на уязвимом сервере. Необходима срочность, но это не доказательство уже совершенного взлома конкретного сайта.

Официальное сообщение включает PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. PHP считает риск mod_php наивысшим и описывает демонстрацию до кода приложения. Маленький сайт, отсутствие входа или актуальные плагины недостаточны. Найдите PHP, действительно обслуживающий запросы, и его исправление. Воздействие зависит от версии, поставщика и конфигурации; статья не диагностирует отдельный сервер.

Две ошибки и исправленные версии

CVE-2026-109618 связана с повреждением памяти при обработке ее нехватки. CVE-2026-109619 касается внутреннего состояния, переживающего освобождение памяти и используемого последующим запросом того же worker. PHP Foundation объясняет причины и исправление. Это не универсальная настройка на все случаи. Воспроизводить атаку ради решения обновиться не требуется; здесь нет эксплуатации публичных сервисов или команд намеренного сбоя.

Исправления21октября вышли в8.5.12,8.4.27,8.3.36 и8.2.35. До вмешательства проверьте актуальное сообщение на последующие ревизии. Дистрибутив может перенести патч без этих базовых номеров; Ubuntu перечисляет пакеты вUSN-8948-1. Сверяйте пакет и сообщение поставщика, не только строку интерпретатора. PHP 8.1 и старше вне поддержки проекта, а исправление дистрибутора эту поддержку не восстанавливает.

CVE-2026-109618 / CVE-2026-109619
PHP 8.2.35 | 8.3.36 | 8.4.27 | 8.5.12

Что спросить у хостинга и проверить администратору

У управляемого хостинга запросите подтверждение обеихCVE, установленного пакета, затронутой службы и исправленных активных процессов. Включите домены, пулы, контейнеры и продукты с PHP, не только основную консоль. Версия командной строки не обязательно обслуживает сайт. Используйте документированный канал поставщика, сохранив доступ восстановления и подходящую копию. Не устанавливайте якобы патчи из непроверенных сообщений или репозиториев.

После обновления обновите процессы по инструкции и проверьте работающий пакет. Испытайте основные функции и запишите время. CMS-обновление или очистка кэша не заменяют runtime. При признаках вторжения сохраните доказательства и запустите реагирование: патч не отменяет прежние изменения злоумышленника. Это эксплуатационные проверки завершения, не удаленный диагноз. Вернувшаяся главная страница требует технического подтверждения и функциональной проверки.

Если немедленный патч невозможен и границы WikiURL

PHP указывает, что только обновление является полным решением. Временные меры сокращают отдельные пути, не делают установку безопасной. Не копируйте настройки памяти или сессий без понимания последствий. ENISA советует приоритет открытым системам и рассмотрение изоляции от публичных сетей, если исправить сразу нельзя. Согласуйте безопасный доступ управления и сообщение о перерыве. WAF-правило или рабочее приложение не заменяют патч и не гарантируют полной защиты.

WikiURL проверяет HTTP-ответ и публичную цель после обслуживания, не настоящую версию PHP или исправлениеCVE.200 и HTTPS-замок не являются анализом уязвимостей. Не передавайте секреты, не публикуйте phpinfo как доказательство. Храните подтверждение поставщика, проверку процессов и испытания отдельно. Нужны срочное обновление и проверенный результат, без необоснованного объявления взлома или спокойствия из-за открывающейся страницы. Статья не удостоверяет исправленность какой-либо конкретной установки.