Уязвимость в PHP, которая обходит приложение
PHP2Shell, две критические уязвимости, идентифицированные как CVE-2026-109618 и CVE-2026-109619, только что нанесли удар по интернету. С заявленной оценкой CVSS 9.2 это не типичные ошибки уровня приложения; они бьют в самое сердце интерпретатора PHP.
Основной риск обманчиво прост: специально сформированный запрос может вызвать состояние нехватки памяти (OOM) во время обработки запроса. Это оставляет после себя поврежденное или устаревшее состояние, которое процедуры очистки PHP могут обработать некорректно. Результат? Неавторизованное удаленное выполнение кода, дающее злоумышленнику полный контроль над сервером.
Это не просто очередная уязвимость в плагине WordPress. Проблема находится фундаментально ниже вашего прикладного кода, непосредственно внутри самого PHP. Исследователи безопасности из Wiz продемонстрировали разрушительное воздействие PHP2Shell на чистые установки:
- WordPress
- Drupal
- Joomla
Даже минимальное приложение «Hello World» оказалось уязвимым. Обновление вашего приложения не исправит это; вы должны обновить PHP. Это различие имеет решающее значение, подчеркивая серьезность ошибки, которая обходит типичные средства защиты на уровне приложений и напрямую компрометирует движок языка.
Почему интернет нажал кнопку экстренного отключения
Повсеместное распространение PHP, на котором работает около 70% интернета, усилило угрозу PHP2Shell. Уязвимости CVE-2026-109618 и CVE-2026-109619 затронули как современные, так и устаревшие развертывания PHP, охватывая более десяти лет версий. Такое широкое распространение означало, что фундаментальная ошибка языка, а не ошибка плагина или приложения, поставила под угрозу огромный сегмент сети.
Агентства кибербезопасности, включая NSA, CISA, FBI и UK NCSC, выпустили беспрецедентные рекомендации: немедленно установить патч или отключить уязвимые системы, если их нельзя защитить вовремя. Это была не рекомендация, а срочная директива, отражающая критическую оценку CVSS 9.2 и возможность неавторизованного удаленного выполнения кода.
Интернет отреагировал волной превентивных отключений. Части Wikipedia ушли в офлайн, 4chan временно отключился, и даже хакерские форумы, такие как BreachForums, добровольно приостановили работу. Эти отключения не были подтверждением массовых компрометаций, а скорее превентивными мерами для защиты от неизвестности, что иллюстрирует серьезность ситуации и немедленные, видимые последствия для индустрии.
Один администратор на Reddit отметил, что это было его первое намеренное отключение сайта за 20 лет. Это коллективное действие подчеркнуло серьезность PHP2Shell и приверженность индустрии безопасности, даже ценой временного нарушения обслуживания.
Патч появился после того, как секрет был раскрыт
План скоординированного раскрытия информации о PHP2Shell быстро сорвался, сократив время для защитников. Во вторник днем детали CVE и ошибочная оценка CVSS 10.0 появились на Hacker News, преждевременно предупредив сообщество безопасности и потенциальных злоумышленников. Эта утечка вынудила PHP Foundation ускорить график выпуска на целый день.
Одновременно с этим Calif, одна из фирм, обнаруживших ошибку, случайно опубликовала видео, демонстрирующее эксплойт в действии. Хотя оно было быстро удалено, копии распространились по социальным сетям, предоставив опасный план для эксплуатации. За несколько часов до официального релиза Chainguard в одностороннем порядке опубликовала исправленные образы контейнеров PHP, фактически нарушив эмбарго.
Каждая утечка уменьшала преимущество защитников. Как только исправления или демонстрации эксплойтов становятся публичными, как «белые» исследователи, так и злоумышленники могут провести обратную разработку изменений, соревнуясь в создании надежных эксплойтов. The PHP Foundation и сопровождающие проекта в спешном порядке выпускали исправления, в то время как такие компании, как Cloudflare и Vercel, получив предварительное уведомление, тихо развернули защитные правила брандмауэра. Более подробно о реакции фонда читайте в статье Today's PHP Security Release, and How We're Strengthening PHP Security.
К моменту выхода официального патча в 2:00 UTC секрет уже перестал быть секретом. Хаотичное раскрытие информации привело к тому, что к моменту появления официальных исправлений многие уже точно знали, где искать уязвимость, превратив запланированный спокойный релиз в лихорадочную публичную гонку со временем.
Нравится статья? Получайте такие каждое утро на почту.
одно письмо в день · отписка в два клика · без сторонних трекеров
Обновите каждый забытый PHP-сервер
Перед операторами теперь стоит ясная, хотя и пугающая задача: тщательно провести инвентаризацию всех PHP-хостов и контейнеров, подтвердить точную версию среды выполнения и применить официальный исправленный релиз или доверенный бэкпорт от поставщика. Критически важно убедиться, что развертывание действительно изменилось, так как скрытые сбои или проблемы с кэшированием могут оставить системы уязвимыми.
Длинный хвост устаревших инсталляций представляет наибольшую опасность. Сканирование показало, что 59% серверов работают на PHP 8.1 или более старых версиях; некоторые старые ветки, такие как PHP 7.4, требовали отдельно созданных патчей, часто от сопровождающих сообщества, таких как Ondrej Surý. Эти забытые серверы, часто неконтролируемые, являются главными целями.
PHP2Shell преподает индустрии суровый урок: обнаружение уязвимостей с помощью ИИ ускорит исследования и разработку эксплойтов. Сообщается, что OpenAI GPT-5.6 Sol и Google Gemini 4 Argon внесли свой вклад в результаты, сократив то, на что раньше уходили месяцы, до нескольких недель.
Этот сдвиг парадигмы требует более жестких сроков для процессов раскрытия информации и операций по исправлению. Хаотичный запуск PHP2Shell, отмеченный ранними утечками и случайными PoC, подчеркивает, что даже несколько часов преждевременной информации могут спровоцировать панику. Проактивное исправление и надежное реагирование на инциденты больше не являются опциональными; они являются основой безопасности в эпоху ИИ.
Часто задаваемые вопросы
Что такое PHP2Shell?
PHP2Shell — это название, данное двум критическим уязвимостям в ядре среды выполнения PHP, которые могут позволить удаленное выполнение кода.
Почему обновление WordPress не может исправить PHP2Shell?
Уязвимости находятся в самом PHP, а не в WordPress или плагине. Необходимо обновить среду выполнения PHP, на которой работает приложение.
Что должны делать операторы PHP-сайтов?
Идентифицировать каждое развертывание PHP, установить исправленный релиз PHP или бэкпорт от поставщика и следовать официальным рекомендациям. Если систему невозможно исправить или адекватно защитить, изолируйте ее или отключите от сети.
Были ли подтверждены случаи эксплуатации PHP2Shell злоумышленниками?
Источники сообщают о попытках эксплуатации, но на момент публикации подтвержденных успешных атак не зафиксировано.