PHP2Shell: две неисправленные критические уязвимости PHP RCE (CVSS 9.2) вызывают экстренное оповещение безопасности

Свати Кхандельвал21 октября 2026 г.Уязвимость/веб-безопасность

PHP выпустит внеплановую версию безопасности сегодня, 21 октября, в 14:00 по всемирному координированному времени (UTC) для двух критических уязвимостей, которым его команда безопасности оценила 9,2 по шкале CVSS v4.0, но не описала.

Исследователи безопасности из WatchTowr говорят, что эти две уязвимости позволяют удаленно выполнять код. Только четыре поддерживаемые ветки PHP, с 8.2 по 8.5, могут получить исправление, и до сих пор не было сообщений об эксплойтах.

Предварительное уведомление последовало за утечкой. 20 октября в сообщении на HN говорилось, что две ошибки удаленного выполнения кода PHP, имеющие рейтинг CVSS 10.0 и затрагивающие версии PHP 5 и далее, будут раскрыты в четверг, 22 октября. В сообщении говорилось, что у них «нет никаких доказательств, кроме «источник: поверь мне, братан»».

Затем watchTowr опубликовал на X сообщение о том, что просочившаяся информация была реальной, что на два недостатка наложено эмбарго, что всем нужно было подождать до четверга и что пока они не могут поделиться более подробной информацией.

PHP опубликовал свое уведомление вечером в 19:33 по всемирному координированному времени, причем релиз был назначен на среду, за день до даты, которую сообщил WatchTowr. В уведомлении говорится, что PHP может быть выпущен раньше, «если подробности об уязвимости станут достоянием общественности или если появятся доказательства активной эксплуатации».

В утечке говорилось о существовании недостатков, их рейтинге, дате и двух идентификаторах CVE, а не о том, как эти недостатки работают. Цифра CVSS 10.0 — это утечка. Рейтинг PHP составляет 9,2 по шкале версии 4.0.

Идентификаторы, которые используют исследователи, CVE-2026-109618 и CVE-2026-109619также были перечислены в просочившемся посте. Уведомление PHP не называет ни того, ни другого. Утверждение о том, что затронута каждая версия, начиная с PHP 5, также не подтверждено: в собственных часто задаваемых вопросах watchTowr по недостаткам говорится, что область применения «не подтверждена официальной рекомендацией поставщика» и что не описаны никакие требования к конфигурации или функциям.

PHP говорит: «Полная информация, затронутые версии и исправленные версии будут опубликованы вместе с выпуском». Исследователи начали называть пару php2shell. Имя принадлежит им, а не PHP.

Каким бы ни был затронутый диапазон, проблемы PHP исправляются только для четырех поддерживаемых ветвей и записывают изменения каждой ветки в свой журнал изменений. Версии 8.2 и 8.3 получают только исправления безопасности, а версии 8.4 и 8.5 находятся в активной поддержке.

Все более старые версии, включая 8.1, 8.0, 7.x и 5.x, устарели и не подлежат исправлению PHP. Если уязвимости доберутся до этих веток, установки на них не будут иметь вендорного патча.

Охранная компания Mallory насчитала около 884 000 хостов с выходом в Интернет, чей HTTP-баннер сообщал поисковой системе Shodan о версии PHP 8.1 или старше, что составляет 59% из примерно 1,5 миллионов хостов, сообщивших о любой версии. В подсчет входят баннеры, неподтвержденные затронутые системы, а еще 740 000 хостов сообщили о том, что PHP не имеет версии.

PHP не опубликовал обходного пути. До момента релиза подготовка сводится к шести этапам, большинство из которых взяты из поста быстрого реагирования от Huntress с добавлением рекомендаций CERT-EU по изоляции.

1. Инвентаризируйте каждую установку PHP, включая PHP, включенный в устройства поставщиков, программное обеспечение Windows и панели управления, такие как cPanel и Plesk.
2. Будьте готовы обновиться в 14:00 UTC. Сначала исправьте системы, подключенные к Интернету, и проверьте свой дистрибутив Linux и хостинг-провайдера на наличие перенесенных пакетов.
3. В ветке с истекшим сроком эксплуатации обновите систему, отключите ее от Интернета или поместите ее за VPN или брандмауэр веб-приложений, пока это не будет возможно.
4. Если исправление невозможно выполнить сразу, CERT-EU советует вам «рассмотреть возможность изоляции интернет-приложений от общедоступных сетей до тех пор, пока не будет доступно исправление».
5. Посмотрите, что запускается PHP. Оповещение о запуске оболочек, интерпретаторов или инструментов загрузки с помощью php-fpm, php-cgi, httpd или apache2. На серверах Linux без обнаружения конечных точек наблюдатель процессов Флориана Рота регистрирует каждую программу, запускаемую процессом PHP, с помощью командной строки. Он видит программу только после ее запуска и, по словам Рота, «ничего не предотвращает».
6. Если вы что-то найдете, изолируйте сервер, сохраните журналы веб-сервера и PHP и ищите веб-оболочки, новые файлы в корне веб-сайта, новые задания cron, запланированные задачи и учетные записи.

Huntress заявила, что по состоянию на 20 октября не видела эксплуатации недостатков в своих партнерских средах, не создавала и не воспроизводила доказательство концепции и не знала об общедоступном коде эксплойта. В разделе часто задаваемых вопросов watchTowr по состоянию на 21 октября об эксплуатациях не сообщалось, а о недостатках – как об отсутствующих в каталоге известных эксплуатируемых уязвимостей CISA.

Для сравнения: когда в июне 2024 года стало известно об CVE-2024-4577, уязвимости PHP в режиме CGI в Windows, компания Akamai наблюдала попытки эксплойта против своих серверов-приманок в течение 24 часов.

В релизе должно быть указано, что скрыто в уведомлении: какие версии затронуты, какая часть PHP задействована, требует ли атака определенного способа запуска PHP, конфигурации или входа в систему, а также то, как сам PHP описывает недостатки. На момент написания PHP не выпустил исправления.