Команда безопасности языка PHP выпустила экстренные обновления безопасности для устранения двух критических уязвимостей удаленного выполнения кода (RCE), отслеживаемых под общим названием PHP2Shell. Уязвимости имеют идентификаторы CVE-2026-109618 и CVE-2026-109619 и позволяют неавторизованным злоумышленникам получить контроль над уязвимыми серверами.
Детали уязвимостей и их влияние
Уязвимости были обнаружены совместными усилиями исследователей из компаний Calif, OpenAI и Wiz. Серьезность этих уязвимостей заключается в том, что они затрагивают все среды выполнения PHP, обслуживающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.
Команда безопасности PHP пояснила, что наибольшая опасность кроется в конфигурации mod_php, где неавторизованный злоумышленник может осуществить атаку до запуска какого-либо кода конкретного приложения. Обе уязвимости проистекают из фундаментальной проблемы, связанной с оставлением памяти в поврежденном состоянии при аномальном завершении запроса, что открывает возможность для их использования при выполнении удаленного кода.
Необходимые действия для администраторов
Системным администраторам необходимо немедленно обновить свои серверы до следующих безопасных версий: 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Для более старых версий (7.4, 8.0, 8.1), которые больше не получают официальных обновлений, команда PHP предоставила патчи (backports), помогающие защитить системы, всё еще зависящие от этих версий.
Почему эта новость важна?
PHP является основой примерно для 75–80% веб-сайтов по всему миру, включая такие популярные платформы, как WordPress и Drupal. Учитывая наличие более чем 5 миллионов доступных из интернета серверов PHP, эксплуатация этих уязвимостей представляет собой угрозу широкого масштаба. Компания Cloudflare подтвердила, что уже зафиксировала ранние попытки эксплуатации данных уязвимостей, что побудило Национальный центр кибербезопасности Великобритании (NCSC) выпустить срочное предупреждение организациям о необходимости немедленного обновления или отключения систем от сети.
Временные меры по смягчению последствий
В случае невозможности немедленного обновления команда безопасности PHP предложила ряд временных мер для снижения вероятности эксплуатации, в том числе:
- Для уязвимости CVE-2026-109618: установить для memory_limit значение -1 и уменьшить post_max_size до 8 МБ (или 32 МБ при необходимости загрузки файлов).
- Для уязвимости CVE-2026-109619: установить для session.upload_progress.enabled значение 0, а в версии 8.5 установить для fatal_error_backtraces значение 0 с последующим перезапуском рабочих процессов (workers).
Разработчики подчеркивают, что эти меры не обеспечивают полной защиты, и официальное обновление остается единственным способом гарантировать постоянную безопасность сервера.