Безопасность 21 октября 2026, 14:03 МСК

Критические уязвимости PHP2Shell заставили часть сайтов отключиться до установки патчей

Из-за двух критических уязвимостей PHP (CVE-2026-109618 и CVE-2026-109619) с оценкой CVSS 9,2 часть сайтов отключили доступ на время установки исправлений.

Уязвимости PHP2Shell потенциально позволяют удалённо выполнять код и затрагивают все версии PHP начиная с PHP 5. По данным CERT-EU, их можно эксплуатировать без аутентификации. Обе связаны с ошибками при работе с памятью. Подробности просочились в сеть раньше запланированного скоординированного раскрытия и выхода официальных исправлений.

Команда безопасности PHP выпустила обновления PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также патчи для уже не поддерживаемых веток 7.4, 8.0 и 8.1. В PHP заявили, что полностью закрыть уязвимости можно только установкой обновления. По данным Sansec, массовая эксплуатация, вероятно, начнётся в течение 15 минут после выхода патчей.

Доступ временно закрыли, в частности, Internet Archive, BookMyName (сервис Scaleway) и реестр доменов .de. Форум GrapheneOS тоже заблокировали для пользователей. CERT-EU и британский Национальный центр кибербезопасности советуют тем, кто не может сразу обновиться, изолировать приложения от публичных сетей или отключить их.

Wordfence предупредила, что под угрозой все сайты на WordPress, а патч нужно ставить вручную. По оценке одного из исследователей, под угрозой могут быть более 1,3 млн хостов.

• Две уязвимости, CVSS 9,2 из 10, удалённое выполнение кода
• Затронуты все версии PHP начиная с PHP 5
• Исправления: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35