N環球 
«PHP2Shell»: PHP поставляет экстренные исправления для двух критических недостатков CVSS-9.2, позволяющих удаленное выполнение кода без аутентификации.
21 октября PHP выпустил экстренные обновления, исправляющие две критические уязвимости, получившие общее название PHP2Shell (CVE-2026-109618, CVE-2026-109619), обнаруженные исследователями из Wiz, Калифорния и OpenAI. Подробности просочились раньше, чем было скоординировано раскрыто, и Cloudflare заметила реальные атаки еще до выхода патча. Это затрагивает каждую установку PHP, обслуживающую веб-запросы.
Почему это важно
Это одна из самых серьезных веб-уязвимостей за последние годы. PHP поддерживает большую часть веб-сайтов в мире (WordPress, Drupal, Joomla), и на этот раз недостаток кроется в самом языковом движке — даже идеально написанный сайт не обеспечивает защиты. Злоумышленнику не нужна учетная запись; один запрос может привести к выполнению кода на сервере.
Это также самая яркая иллюстрация двойной роли ИИ в исследованиях безопасности: Уиз говорит, что недостатки скрывались десятилетиями, а для демонстрации возможности использования требовалась цепочка «на грани того, чего исследователи-люди могли практически достичь». Модели Frontier AI существенно снизили этот барьер, превратив давнюю ошибку в работающую уязвимость.
Полный отчет
21 октября команда безопасности PHP выпустила экстренные обновления, исправляющие CVE-2026-109618 и CVE-2026-109619, оба имеют рейтинг CVSS v4.0 9.2 и имеют общее название PHP2Shell. Оба возникают из-за поврежденного состояния памяти, когда запрос завершается ненормально, и оба могут быть использованы неаутентифицированными злоумышленниками для удаленного выполнения кода.
Это затрагивает каждую установку PHP, обслуживающую веб-запросы, включая PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. Команда говорит, что риск наиболее высок для mod_php, где продемонстрированный эксплойт срабатывает до запуска любого кода приложения. Одна уязвимость может даже позволить злоумышленнику прочитать рабочую память, содержащую пароли, токены и ключи API других запросов.
Недостатки были обнаружены исследователями из Wiz, Калифорния, OpenAI (партнера программы Patch the Planet) и Quarkslab. Технические подробности стали известны 20 октября перед запланированным скоординированным раскрытием информации, что побудило PHP выпустить на день раньше. Cloudflare заявила, что заметила трафик атак на своих клиентов до того, как патч был выпущен, и 21 октября активировала правила WAF. Несколько голландских и японских сайтов (включая голландский сервис DigiD и веб-сайт Палаты представителей) в качестве меры предосторожности отключились от сети.
Администраторам настоятельно рекомендуется немедленно обновить PHP до версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35; PHP 7 и более ранние версии больше не получают официальных обновлений.
💬 Comments
No comments yet. Be the first!