Новости PHP
PHP уязвимости CVE-2026-109618 и CVE-2026-109619 вызвали массовые обновления серверов
Две критические уязвимости в PHP, обнаруженные с помощью моделей ИИ, затронули версии с 2012 года и привели к срочным патчам и отключениям сайтов.
21 октября 2026 года проект PHP выпустил исправления для двух критических уязвимостей в ядре рантайма. Уязвимости CVE-2026-109618 и CVE-2026-109619, получившие общее название PHP2Shell, позволяют удалённое выполнение кода без аутентификации.
Технические детали уязвимостей PHP2Shell
Обе уязвимости получили оценку CVSS v4 9.2. Первая связана с повреждением памяти при обработке ситуаций нехватки ресурсов, вторая — с использованием устаревшего глобального состояния и освобождением после использования, сохраняющимся между запросами. Проблемы затрагивают все версии PHP начиная с 5.4, выпущенной в 2012 году. Уязвимы все конфигурации, обрабатывающие веб-запросы: PHP-FPM, Apache mod_php, php-cgi и другие.
Обнаружение уязвимостей произошло при участии моделей ИИ в рамках инициативы Patch the Planet. OpenAI GPT-5.6 Sol, Gemini 4 Argon и инструменты Wiz Atlas выявили дефекты, которые ранее оставались незамеченными. Координированное раскрытие проводили PHP-разработчики, OpenAI, Wiz и Cloudflare. Релиз был ускорен после утечки деталей 20 октября.
Патчи доступны в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для более ранних веток выпущены только минимальные бэкпорты или исправления от дистрибутивов. Cloudflare зафиксировала миллионы попыток эксплуатации в первые часы после публикации. Amazon обнаружила сканирования ещё 17 октября.
Реакция в России и мире
В России PHP используется примерно на 90,8–91 % русскоязычных сайтов по данным W3Techs. Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ 22 октября разослал срочные уведомления через систему ГосСОПКА организациям критической инфраструктуры. Ведомство потребовало немедленного обновления или отключения сервисов, проверки после патча и анализа логов.
Дистрибьютор ROSA выпустил обновления для своих поддерживаемых версий. Хостинги Beget и Timeweb применили патчи или временные ограничения, включая отключение progress-отслеживания загрузок. Независимое издание 7×7 временно вывело свой сайт из сети. Аналогичные меры приняли в Нидерландах, Финляндии, Франции, Великобритании, Японии и Австралии.
Правительства и компании по всему миру выбирали между срочным обновлением и превентивным отключением. После публикации патчей число атак продолжило расти, что потребовало дополнительного мониторинга.
Дальнейшие действия для владельцев сайтов
Администраторам рекомендуется немедленно проверить текущую версию PHP и обновить её до патчированных релизов, затем перезапустить процессы PHP-FPM. Для систем, которые нельзя обновить, требуется временное отключение. После обновления необходимо просканировать файлы на предмет изменений, датированных после 17 октября, и проверить подозрительные процессы.
Операторы, обрабатывающие персональные данные, должны учитывать требования 152-ФЗ и при необходимости уведомлять Роскомнадзор. Рекомендуется отслеживать последующие рекомендации по параметру session.upload_progress и другим потенциальным векторам. Регулярный мониторинг обновлений PHP остаётся обязательным для снижения рисков.
Частые вопросы
Какие версии PHP затронуты уязвимостями PHP2Shell?
Уязвимости затрагивают все версии начиная с PHP 5.4 2012 года. Исправления выпущены для веток 8.5, 8.4, 8.3 и 8.2.
Как быстро нужно обновить PHP после публикации патчей?
Обновление необходимо выполнить немедленно. В России НКЦКИ рекомендовал принять меры в течение суток после получения уведомления.
Можно ли использовать временные mitigation вместо обновления?
Временные меры, такие как отключение определённых функций, допустимы только до установки патча. Полная защита требует обновления версии PHP.
Какие признаки компрометации следует искать после 17 октября?
Необходимо проверять изменённые файлы, подозрительные процессы и логи веб-сервера на предмет необычной активности, начиная с даты первых сканирований.
Комментарии
Комментариев пока нет. Будьте первым!