PHP2Shell: критические уязвимости PHP затронули до 70% веба
PHP Foundation выпустила исправления для двух критических уязвимостей PHP2Shell — CVE-2026-109618 и CVE-2026-109619. Ошибки позволяют удалённо выполнить код на не обновлённой системе без пароля; риск касается PHP, который используется примерно на 70% публичного веба.
Патчи стали доступны в среду после координированного раскрытия. Крупные интернет-компании и хостинг-провайдеры получили информацию заранее, чтобы установить обновления до публикации. Тем не менее банки, магазины, игровые площадки, больницы и отдельные государственные организации временно отключали сервисы для установки исправлений.
Почему PHP2Shell опасен
Обе ошибки дают возможность атаковать сервер через интернет без действий со стороны пользователя. Такой сценарий относится к удалённому выполнению кода: злоумышленник может получить контроль над уязвимой системой, изменить данные, разместить вредоносное ПО или сохранить доступ для последующих действий.
Для атаки не требуются пароль и другие учётные данные. Именно сочетание удалённой эксплуатации и отсутствия аутентификации делает уязвимости особенно серьёзными для публичных серверов, где PHP доступен извне.
Проблемы обнаружили исследователи Calif ещё в 2024 году, но тогда их не считали эксплуатируемыми и не исправили. Позднее специалисты нашли практический способ атаки, уведомили PHP Foundation, после чего началась разработка патчей и закрытая координация их выпуска.
Признаки атак появились до публикации патчей
Amazon сообщила, что зафиксировала эксплуатацию PHP2Shell примерно за неделю до выхода обновлений, и рекомендует искать признаки компрометации начиная с 17 октября. Компания не установила, как атакующие получили сведения об ошибках.
PHP Foundation заявила, что одна из компаний опубликовала патчи за несколько часов до завершения эмбарго. Открытый характер кода PHP позволяет изучать изменения и сопоставлять их с уязвимым участком, однако этот эпизод не объясняет активность, замеченную Amazon раньше.
Palo Alto Networks и Trail of Bits позднее подтвердили компрометации и вредоносную активность после проникновения. Cloudflare, со своей стороны, наблюдала экспоненциальный рост попыток эксплуатации после раскрытия информации.
Что проверить владельцам инфраструктуры
Риск относится не только к сайтам на WordPress, Drupal, Joomla и MediaWiki. PHP используется в локальных веб-приложениях, инструментах разработчиков, пакетах командной строки и компонентах маршрутизаторов, систем хранения, межсетевых экранов и VPN-устройств.
Организациям следует установить исправления PHP и обновления продуктов, в которые он встроен, а затем проверить журналы и индикаторы возможной активности с 17 октября. Особого внимания требуют устаревшие системы и решения, которые обновляются медленно или не имеют доступного пути обновления: именно они могут оставаться доступной целью после массового патчинга.