Безопасность 22 октября 2026, 10:21 МСК

Для критических уязвимостей PHP2Shell выпущены исправления, массовых атак пока нет

PHP выпустил патчи для двух критических уязвимостей CVE-2026-109618 и CVE-2026-109619 (CVSS 9,2), позволяющих удалённо выполнять код; массовых атак не зафиксировано, но Bi.Zone видит попытки эксплуатации.

Уязвимости затрагивают версии PHP с 5.4 до 8.5.4 включительно и связаны с ошибками работы с памятью, в частности с механизмом session.upload_progress. По данным Bi.Zone, они позволяют выполнять команды на сервере без авторизации. Компания фиксировала попытки эксплуатации ещё до выхода исправления и оценивает число потенциально уязвимых российских веб-приложений примерно в 50 тыс.

Команда PHP выпустила версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также патчи для неподдерживаемых веток 7.4, 8.0 и 8.1. Полностью закрыть уязвимости можно только обновлением. Дату публикации исправлений перенесли на 21 октября после утечки CVE-идентификаторов, а Chainguard нарушила эмбарго и выложила сборки раньше срока. Исследователи Calif по ошибке опубликовали видео с демонстрацией эксплоита, позже удалённое.

По данным Хабра со ссылкой на отчёт PHP Foundation, универсального рабочего эксплоита спустя 16 часов после раскрытия не появилось: атака требует знания раскладки структур в памяти, специфичной для каждой сборки. Опубликованные прототипы привязаны к отдельным конфигурациям. Bi.Zone при этом отмечает, что в сети есть технические материалы, упрощающие настройку эксплоита. Правило Bi.Zone WAF снижает риск, но не гарантирует блокировку всех вариантов атак.

• CVSS 9,2, затронуты версии PHP с 5.4 до 8.5.4
• Исправления: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35
• Около 50 тыс. потенциально уязвимых приложений в РФ (Bi.Zone)