PHP выпустила экстренные обновления безопасности для двух критических уязвимостей, которые могут позволить злоумышленникам выполнять вредоносный код на веб-сервере без входа в систему.

Уязвимости, отслеживаемые как CVE-2026-109618 и CVE-2026-109619 и получившие общее название PHP2Shell, находятся в самом PHP — языке программирования, на котором работают такие сайты и приложения, как WordPress, Drupal и Joomla. Каждая из них получила 9,2 балла из 10 по Common Vulnerability Scoring System (CVSS), что относит обе к критическому уровню.

Что такое PHP2Shell?

PHP работает на веб-сервере, где обрабатывает запросы посетителей, извлекает информацию из баз данных, обрабатывает формы и формирует страницы. По данным компании по информационной безопасности Qualys, PHP2Shell включает две ошибки в том, как язык обрабатывает память и состояние веб-запроса. Уязвимости находятся в самом PHP, а не в WordPress, Drupal или Joomla.

WordPress заявил в публикации в X, что уязвимости затрагивают любой сервер, на котором размещено PHP-приложение, и что обновление WordPress не требуется и не планируется. Поскольку все приложения на сервере опираются на одну и ту же среду выполнения, один исправленный PHP закрывает брешь для всех них — а единственная неисправленная среда выполнения оставляет их всех уязвимыми, насколько бы актуальными ни были их приложения и плагины.

Первая уязвимость, CVE-2026-109618, проявляется, когда в PHP посреди запроса заканчивается память и данные остаются частично инициализированными. Вторая, CVE-2026-109619, возникает, когда PHP продолжает ссылаться на данныеа после того, как память под ними была освобождена.

Wiz, одна из компаний, сообщивших об уязвимостях, сообщила, что продемонстрировала атаки с выполнением кода на сайтах WordPress и Drupal до входа в систему. Компания добавила, что одна из уязвимостей также может привести к утечке памяти запущенного PHP-процесса. Злоумышленнику не нужна учётная запись, а последствия зависят от конфигурации сервера и разрешений, которыми обладает скомпрометированный PHP-процесс.

Кому грозит опасность?

PHP сообщила в своём объявлении, что под угрозой находится любая установка, обрабатывающая веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Проект отметил, что риск наиболее высок для mod_php в Apache, указав, что продемонстрированный эксплойт позволяет неавторизованному запросу запустить атаку до выполнения какого-либо кода приложения — то есть срабатывание не зависит от каких-либо недостатков в коде самого размещённого сайта.\nWiz сообщила, что уязвимыми являются версии вплоть до PHP 5.4 — диапазон, охватывающий давно работающие устаревшие серверы. Исправленные версии — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. PHP 8.1 и более старые версии больше не получают обновлений от проекта, хотя PHP предоставляет минимальные бэкпорты исходного кода для 7.4, 8.0 и 8.1 тем, кто собирает из исходников или не имеет поддержки от поставщика.

PHP также сообщила, что ветка 8.2 перестанет получать исправления безопасности в конце года, поэтому пользователям этой ветки следует запланировать обновление. Некоторые дистрибутивы Linux и поставщики могут бэкпортировать исправления в более старые версии; администраторам следует проверять их рекомендации и, если их нет, планировать переход на поддерживаемую версию. Продукты, контейнеры и панели хостинга с собственным PHP требуют отдельных обновлений.

По данным компании по информационной безопасности Huntress, подробности об уязвимостях утекли в сеть за день до запланированного раскрытия информации. PHP перенесла релиз на более ранний срок и опубликовала исправления 21 октября.

Sansec, ещё одна компания по информационной безопасности, сообщила, что ожидает массовой эксплуатации теперь, когда патчи и технические разборы стали общедоступными. Она отметила, что Cloudflare уже сообщила о первых атаках. С учётом опубликованных технических деталей и уже зафиксированных атак, попытки эксплуатации серверов, которые ещё не обновились, — главное, за чем должны следить защитники.

Как реагировать

Обновление WordPress, Drupal, Joomla или плагина не устранит уязвимость в самом PHP. Администраторы могут предприн следующие шаги:

Обновите PHP. Установите исправленную версию через менеджер пакетов, затем убедитесь, что веб-сервер использует именно её. Пользователи WordPress могут увидеть свою версию в разделе Tools > Site Health > Info > Server, а многие хостинги показывают её в панели управления.

Проверьте каждую установку. Осмотрите контейнеры, панели управления и любое приложение со встроенным PHP.

Спросите своего хостинг-провайдера. На виртуальном хостинге PHP может быть вне контроля оператора. Спросите у поставщика, установил ли он патч, и не предполагайте этого заранее. WordPress сообщил, что хостинги, возможно, уже устанавливают патчи и добавляют правила межсетевого экрана, но всё же рекомендует уточнить это у хостинга.

Следите за своим репозиторием. Sansec предупредила, что репозиторий Remi, распространённый на PHP-серверах, в день выпуска не содержал исправления, и рекомендовала использовать пакеты дистрибутива или собирать из исходников.

Используйте меры смягчения только как временное решение. PHP заявила, что полных мер смягчения не существует и что обновление — единственный безопасный вариант. Такие меры, как ограничение размера запросов и отключение отслеживания загрузок, не делают установку безопасной.

Проверьте систему на компрометацию. Ищите неожиданные процессы, запущенные PHP, незнакомые файлы и необычные исходящие соединения. Патч не удалит уже установленное вредоносное ПО.

Обычные посетители не могут устранить уязвимости, поскольку те находятся на серверах, а не на телефонах или ноутбуках. Это не означает, что каждый PHP-сайт был взломан, но обновление до исправленной версии — единственное полное решение.