Безопасность 21 октября 2026, 13:04 МСК

Уязвимости PHP2Shell в PHP получили 9,2 балла CVSS, исправления выйдут 21 октября

Исследователи сообщили о двух критических уязвимостях удалённого выполнения кода в PHP — CVE-2026-109618 и CVE-2026-109619, известных как PHP2Shell.

Команда PHP оценила обе проблемы в 9,2 балла по CVSS v4.0. По данным Reuters, о первых атаках заявил CTO Cloudflare.

Официальные исправления запланированы на 21 октября, 17:00 МСК. Перечень затронутых и исправленных версий разработчики опубликуют вместе с обновлением.

По предварительной оценке GMO Flatt Security, уязвимости связаны с обработкой сессий и механизмом Session Upload Progress в ext/session. Обсуждается частичная мера — отключение session.upload_progress.enabled, но, по оценке исследователей, одной этой настройки недостаточно: эксплуатация может оставаться возможной. Администраторам советуют проверить версии PHP, подготовить установку патчей и усилить мониторинг. WAF могут снизить риски до обновления, но не заменяют его.

• CVE-2026-109618 и CVE-2026-109619, 9,2 по CVSS v4.0
• Патчи: 21 октября, 17:00 МСК
• Отключение upload_progress не гарантирует защиту