PHP2Shell: две уязвимости заставили отключать сайты по всему миру

Под обозначением PHP2Shell скрываются две проблемы безопасности — CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 балла по шкале CVSS 4.0. Разработчики PHP подтвердили, что при определенных условиях уязвимости позволяют удаленно выполнять посторонний код.

Самое неприятное — для атаки не обязательно знать пароль администратора или находить ошибку в конкретном сайте. Проблемы затрагивают внутренние механизмы PHP, отвечающие за управление памятью и обработку ошибок. В некоторых конфигурациях вредоносный запрос может сработать еще до запуска программного кода самого сайта.

Особенно опасным разработчики считают использование PHP через Apache mod_php. Возможность эксплуатации подтверждена и для PHP-FPM, хотя условия атаки отличаются.

Фото: BleepingComputer

21 октября команда PHP официально выпустила исправления в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Разработчики прямо предупреждают: полноценного обходного способа защиты нет. Необходимо устанавливать обновление.

Масштаб проблемы объясняется распространенностью PHP. На нем работают WordPress, Drupal, Joomla, Magento и огромное количество других веб-приложений. Причем сайт может использовать уязвимый интерпретатор даже при полностью обновленной CMS.

Еще до выхода исправлений власти Финляндии начали отключать некоторые государственные интернет-ресурсы. Аналогичные меры затронули сайты государственных организаций других европейских стран. Это были предупредительные отключения, а не доказательство успешного взлома.

Ситуацию осложнила утечка информации об уязвимостях. Первоначально исправления планировали выпустить 22 октября, но после появления идентификаторов проблем в открытом доступе дату перенесли на сутки раньше.

В поиске ошибок участвовали специалисты нескольких организаций, включая OpenAI и Wiz. После раскрытия технических подробностей в интернете начали появляться экспериментальные программы для эксплуатации уязвимостей. Исследователи безопасности также зафиксировали подозрительные попытки атак, хотя это не означает, что каждая из них закончилась успешно.

Для владельцев сайтов главное изменение уже произошло: исправления доступны. На обычном хостинге установкой PHP занимается провайдер, а на собственном сервере — администратор. Проверять нужно именно используемую сервером версию PHP, а не только обновления WordPress или других приложений.

Фото: BleepingComputer

Отдельная проблема — устаревшие версии PHP, которые уже не поддерживаются разработчиками. Для таких систем установка очередного обновления CMS не решает вопрос. Потребуется переход на поддерживаемую ветку интерпретатора.

Инцидент показывает, насколько серьезными могут оказаться ошибки в программной основе интернета. Даже аккуратно обслуживаемый сайт рискует пострадать из-за компонента, который большинство посетителей вообще не замечает.

А вы знаете, какая версия PHP используется на вашем сайте?