Безопасность 24 октября 2026, 18:30 МСК

Две критические уязвимости PHP2Shell вынудили массово обновлять PHP-серверы

PHP Foundation выпустила патчи для двух уязвимостей PHP2Shell (CVE-2026-109618 и CVE-2026-109619), позволяющих удалённо взломать систему без пароля.

Баги нашли исследователи Calif. Они были обнаружены ещё в 2024 году, но тогда их не считали эксплуатируемыми и не исправили. Недавно исследователи нашли способ их использовать и сообщили об этом PHP Foundation. Фонд заранее передал информацию и исправления крупным компаниям и хостинг-провайдерам под строгим эмбарго.

Уязвимости относятся к удалённому выполнению кода без аутентификации: злоумышленник может получить фактически полный контроль над непропатченной системой, установить вредоносное ПО и закрепиться в ней. По оценке TechCrunch, на PHP работает около 70% веб-сайтов, включая WordPress, Drupal, Joomla и MediaWiki.

Патчи опубликовали в среду. Правительства призвали владельцев сайтов принять меры, а банки, ритейлеры, игровые сайты, больницы и некоторые госведомства отключали серверы на время обновления. Благодаря подготовке массовой эксплуатации пока удалось избежать, но исследователи предупреждают: много систем остаются уязвимыми. Часть экспертов ожидает, что ИИ ускорит поиск новых скрытых уязвимостей.

• CVE-2026-109618 и CVE-2026-109619, нужен только сетевой доступ
• PHP используется примерно на 70% веб-сайтов
• Многие системы по-прежнему не обновлены