N環球 
«PHP2Shell»: PHP надсилає екстрені виправлення для двох критичних недоліків CVSS-9.2, які дозволяють неавтентифіковане віддалене виконання коду
21 жовтня PHP випустив екстрені оновлення, у яких виправлено дві критичні недоліки, які отримали спільну назву PHP2Shell (CVE-2026-109618, CVE-2026-109619), виявлені дослідниками з Wiz, Каліфорнія та OpenAI. Деталі просочилися перед узгодженим розкриттям, і Cloudflare спостерігав справжні атаки до того, як патч був відправлений. Це впливає на кожну установку PHP, яка обслуговує веб-запити.
Чому це важливо
Це одна з найсерйозніших веб-уразливостей за останні роки. PHP працює на значній частині світових веб-сайтів (WordPress, Drupal, Joomla), і цього разу недолік криється в самому мовному механізмі — навіть ідеально написаний сайт не забезпечує захисту. Зловмиснику не потрібен обліковий запис; один запит може призвести до виконання коду на сервері.
Це також найяскравіша ілюстрація подвійної ролі штучного інтелекту в дослідженнях безпеки: Віз каже, що недоліки приховувалися десятиліттями, а для демонстрації можливості використання потрібен ланцюжок «на межі того, чого практично могли досягти дослідники-люди». Моделі Frontier AI суттєво зменшили цей бар’єр, перетворивши давню помилку на робочий експлойт.
Повний звіт
Команда безпеки PHP випустила екстрені оновлення 21 жовтня, виправляючи CVE-2026-109618 і CVE-2026-109619, обидва мають рейтинг CVSS v4.0 9.2 і мають спільну назву PHP2Shell. Обидва виникають через стан пошкодженої пам’яті, коли запит закінчується ненормально, і обидва можуть бути використані неавтентифікованими зловмисниками для досягнення віддаленого виконання коду.
Це стосується кожної інсталяції PHP, яка обслуговує веб-запити, зокрема PHP-FPM, Apache mod_php, php-cgi, FrankenPHP і LiteSpeed. Команда каже, що ризик найвищий для mod_php, де продемонстрований експлойт запускається до запуску будь-якого коду програми. Один недолік може навіть дозволити зловмиснику прочитати робочу пам’ять, яка містить паролі, маркери та ключі API інших запитів.
Недоліки виявили дослідники Wiz, Каліфорнія, OpenAI (партнер у програмі Patch the Planet) і Quarkslab. Технічні деталі просочилися 20 жовтня напередодні запланованого скоординованого розкриття інформації, що змусило PHP випустити на день раніше. Cloudflare повідомила, що спостерігала за трафіком атак на своїх клієнтів до того, як патч був відправлений і активував правила WAF 21 жовтня. Кілька голландських і японських сайтів (включно з голландською службою DigiD і веб-сайтом Палати представників) вийшли з мережі як запобіжний захід.
Адміністраторам рекомендується негайно оновити PHP до версії 8.5.12, 8.4.27, 8.3.36 або 8.2.35; PHP 7 і раніші версії більше не отримують офіційних оновлень.
💬 Comments
No comments yet. Be the first!