CISA подтвердила эксплуатацию двух критических PHP2Shell
Агентство США по кибербезопасности и защите инфраструктуры CISA подтвердило активную эксплуатацию двух уязвимостей PHP2Shell и внесло CVE-2026-109618 и CVE-2026-109619 в каталог Known Exploited Vulnerabilities. Обе ошибки получили оценку 9,2 по CVSS и позволяют удалённо выполнить код на затронутом сервере без аутентификации.
Исправления опубликованы в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Эти релизы вышли 21 октября 2026 года. Федеральным ведомствам США CISA установило срок для устранения уязвимостей до 29 октября.
Что известно об атаках
CVE-2026-109618 связана с повреждением памяти при нехватке памяти, а CVE-2026-109619 — с устаревшим внутренним состоянием запроса. В обоих случаях результатом может стать неаутентифицированное удалённое выполнение кода.
24 октября руководитель направления detection and response в Perplexity Адель Карими сообщил об успешной RCE-цепочке на honeypot-системах. По его описанию, ответ содержал декодированную выгрузку cookie объёмом 800 КиБ, а адрес функции, полученный с использованием смещений из публичного эксплойта, появился в следующей полезной нагрузке.
Карими отдельно подчеркнул ограничение наблюдения: проверка проводилась на намеренно благоприятной конфигурации mod_php с одним worker-процессом. Она не измеряет надёжность эксплуатации при другом числе workers, сборках PHP или приложениях.
Масштаб и действия для владельцев систем
Censys оценивает число PHP-сервисов, которые всё ещё работают на затронутых версиях, более чем в 32,51 млн. PHP применяется приблизительно на 70% сайтов в интернете, поэтому обновление касается не только самостоятельных веб-приложений, но и зависимых продуктов поставщиков.
В каталог KEV попадают уязвимости с подтверждённой эксплуатацией. Контекст для оценки приоритета дают и CVE-2026-9082 в Drupal Core и каталог KEV показывает, почему внесение критической веб-уязвимости в KEV требует не откладывать проверку доступных из интернета систем.
Отдельно PHP Foundation 26 октября выпустила Windows-сборки 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1 для устранения CVE-2026-111497. Эта ошибка записи за границы буфера в декодере Brotli затрагивает PHP для Windows через расширение cURL, если в приложении или HTTP-клиентской библиотеке включено автоматическое распаковивание HTTP-ответов. В самом cURL оно выключено по умолчанию.
Для бизнеса практический шаг — сопоставить инвентарь публичных PHP-развёртываний с исправленными ветками, установить соответствующие обновления и проверить логи на признаки неаутентифицированного выполнения кода. Windows-серверы также стоит сверить с обновлёнными сборками PHP и настройками автоматической декомпрессии в cURL.