Группа технологических компаний, включая OpenAI, Wiz и Calif.io, обнаружила две критические уязвимости безопасности в языке программирования PHP, которым присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619, известные под общим названием php2shell. Эти уязвимости затрагивают все веб-серверы, использующие PHP версии 5.4 и выше, создавая риски удаленного выполнения кода, сбоев в работе сервисов и утечки конфиденциальных данных.
Механизм работы уязвимостей
Уязвимости php2shell возникают из-за сбоя в способе обработки памяти PHP при возникновении ошибок во время обработки HTTP-запросов. В нормальных условиях PHP выделяет память под необходимые данные, а затем освобождает ее, однако в случае неожиданного прекращения обработки язык может не очистить память безопасным образом. Злоумышленники используют эту ситуацию, отправляя специально сформированные HTTP-запросы для манипуляций с недействительной памятью, что приводит к сбоям процессов или доступу к неавторизованным данным.
Технический ответ Cloudflare
Компания Cloudflare опередила публичное объявление об этих уязвимостях примерно на 9 часов, развернув правила защиты через брандмауэр веб-приложений (WAF) для всех своих клиентов, включая пользователей бесплатных тарифных планов. Впервые компания применила новую технологическую возможность под названием «Обнаружение полной транзакции» (Full Transaction Detection).
Эта технология выходит за рамки традиционных правил, основанных исключительно на анализе запросов пользователей, объединяя сигналы, полученные от запроса и ответа, в рамках одной HTTP-транзакции. Это позволяет системе блокировать ответ исходного сервера, если выясняется, что он содержит индикаторы эксплуатации, что снижает вероятность ложноположительных срабатываний (False Positives) и повышает точность защиты.
Что меняется на практике для пользователей?
- Автоматическая защита: Новые правила были активированы автоматически для всех клиентов Cloudflare без необходимости ручного вмешательства.
- Многоуровневость: Несмотря на наличие защиты WAF, компания подчеркивает, что эта защита является дополнительным рубежом обороны и не заменяет необходимость для администраторов сайтов немедленно обновить версии PHP в соответствии с рекомендациями разработчиков.
- Непрерывный мониторинг: Аналитики безопасности Cloudflare продолжают отслеживать попытки эксплуатации и обновлять правила для противодействия любым методам обхода, которые могут придумать злоумышленники.
Пользователи могут просматривать журналы событий через панель управления Cloudflare (Security > Security Analytics > Events), чтобы убедиться в активации защиты и отследить любые заблокированные попытки атак с использованием идентификаторов правил, указанных в обновлении безопасности.