Ошибка времени выполнения, а не очередная проблема с плагинами
PHP2Shell относится к двум критическим уязвимостям, CVE-2026-109618 и CVE-2026-109619, обе из которых получили оценку 9.2 (критическая). Эти недостатки — не очередной испуг из-за плагина или CMS; они находятся в самом ядре интерпретатора PHP, что является важным отличием, значительно повышающим профиль риска. Это означает, что обновление только вашего приложения не обеспечит исправление; вы должны обновить PHP.
Механизм коварен: вредоносный запрос может исчерпать память PHP во время ранней обработки запроса. Это оставляет частично инициализированные, неочищенные данные в памяти. Последующий запрос затем использует это незавершенное состояние, что приводит к неаутентифицированному удаленному выполнению кода (RCE) до того, как будет выполнен какой-либо код приложения. Это обходит типичную санитарную обработку на уровне CMS или фреймворка.
Потенциальный охват PHP2Shell огромен. PHP обеспечивает работу примерно 70-77% всех серверных веб-сайтов, что делает эту угрозу повсеместной. Wiz, исследователи безопасности, продемонстрировали возможность эксплуатации на свежих установках последних версий:
- WordPress
- Drupal
- Joomla
Они также подтвердили, что уязвимость затрагивает даже минимальное приложение Hello, World!, подчеркивая, что под угрозой находится сам язык, а не конкретный код приложения. Затронутые версии PHP охватывают более десяти лет, от 5.4 до 8.5, что делает исправление приоритетной задачей почти для каждого развертывания PHP по всему миру.
Почему обновления приложений вас не спасут
Обновления приложений не решат проблему PHP2Shell. Этот недостаток работает внутри самого интерпретатора PHP, выполняясь до любой маршрутизации приложения или логики очистки из таких фреймворков, как WordPress, Drupal или Joomla. Обновление вашего приложения или плагинов не обеспечивает защиты; базовое время выполнения PHP является поверхностью атаки.
Заявленный охват этих уязвимостей, CVE-2026-109618 и CVE-2026-109619, охватывает версии PHP с 5.4 по 8.5. Немедленные действия критически важны. PHP Foundation выпустил исправленные версии: 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Для устаревших веток требуйте поддерживаемые бэкпорты или отдавайте приоритет миграции на текущую исправленную версию.
Администраторы должны провести тщательную инвентаризацию каждого времени выполнения PHP во всей своей инфраструктуре, включая забытые серверы и образы контейнеров. Немедленно примените патч или бэкпорт, а затем проверьте запущенную версию PHP. Изолируйте любые системы, которые невозможно исправить, чтобы предотвратить потенциальное удаленное выполнение кода.
Раскрытие информации, которое дало злоумышленникам фору
Раскрытие информации о PHP2Shell стало мастер-классом того, как не следует управлять критической уязвимостью, дав злоумышленникам ненужную фору. Во вторник детали CVE-2026-109618 и CVE-2026-109619 появились на Hacker News с неверной оценкой критичности 10.0, вынудив PHP Foundation ускорить выпуск патча до среды. Этот сжатый график создал хаотичную среду.
Ситуацию еще больше осложнило то, что Calif, фирма по безопасности, участвовавшая в обнаружении, случайно опубликовала видео с демонстрацией работающего эксплойта. Хотя оно было быстро удалено, копии широко распространились, по сути, предоставив противникам готовый план действий. За несколько часов до официального патча Chainguard выпустила исправленные образы контейнеров PHP, позволив реверс-инженерам проанализировать исправления и восстановить векторы эксплойтов задолго до того, как большинство защитников смогли предпринять какие-либо действия.
Это преждевременное раскрытие привело к немедленным последствиям. Отчеты подтверждают активное зондирование до раскрытия информации и попытки эксплуатации в реальных условиях. Хотя массовых компрометаций подтверждено не было, угроза была достаточно серьезной, чтобы такие платформы, как 4chan, BreachForums и сервис Wikimedia, приняли меры предосторожности, временно отключившись от сети. Для получения дополнительной информации об этой критической угрозе обратитесь к таким ресурсам, как Critical Vulnerabilities in PHP Require Immediate Patching - CISA. Нарушение этого скоординированного процесса раскрытия увеличило временное окно как для защитников, так и для злоумышленников, подчеркивая хрупкий баланс управления уязвимостями.
Нравится статья? Получайте такие каждое утро на почту.
одно письмо в день · отписка в два клика · без сторонних трекеров
ИИ сокращает время между обнаружением ошибки и взломом
Исследователи безопасности Wiz выступили с суровым предупреждением: один человек за неделю достиг того, на что раньше у команды специалистов уходили месяцы. Искусственный интеллект ускоряет как анализ уязвимостей, так и разработку эксплойтов, сокращая окно между раскрытием информации и активными атаками. Это кардинально меняет ландшафт рисков для базового программного обеспечения.
Этот кризис PHP разворачивался параллельно с другими критическими уязвимостями. Node.js выпустил патч для устранения ошибки удаленного выполнения кода, а GitLab предоставил исправление для дыры в безопасности с рейтингом 10.0, CVE-2026-109620, в один и тот же день. Команды безопасности сталкиваются с одновременным давлением на ключевые компоненты инфраструктуры, что подтверждает: системный риск теперь является нормой, а не исключением.
Традиционная модель раскрытия информации, основанная на предпосылке, что поиск ошибки — это самая сложная часть, больше не работает. Эмбарго и планы реагирования на уязвимости становятся все более хрупкими. Когда Chainguard в одностороннем порядке нарушила эмбарго, опубликовав исправленные образы PHP, это дало злоумышленникам фору, ускорив гонку за эксплуатацию.
Исправление PHP сейчас не подлежит обсуждению, даже для забытых серверов. Мониторьте все системы на предмет подозрительной активности. Инцидент PHP2Shell — это четкий сигнал о том, что быстрое устранение является вашей основной защитой; исходите из того, что любая раскрытая уязвимость будет использована с беспрецедентной скоростью, что требует немедленного и решительного ответа.
Часто задаваемые вопросы
Что такое PHP2Shell?
PHP2Shell — это название, данное двум критическим уязвимостям среды выполнения PHP, которые могут позволить удаленное выполнение кода на уязвимых серверах.
Какие версии PHP затронуты?
Сообщаемые недостатки затрагивают выпуски PHP с 5.4 по 8.5. Исправленные выпуски включают PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
Может ли обновление WordPress или другой CMS исправить PHP2Shell?
Нет. Недостатки находятся в интерпретаторе PHP, поэтому администраторы должны обновить сам PHP или применить соответствующий бэкпорт.
Следует ли администраторам отключать уязвимые сайты на PHP?
Если они не могут оперативно применить патч или бэкпорт, агентства рекомендовали отключить затронутые экземпляры до тех пор, пока они не будут защищены.