Разработчики языка PHP выпустили срочные обновления безопасности для устранения двух критических уязвимостей, получивших название PHP2Shell. Они предоставляют злоумышленникам возможность удаленного выполнения вредоносного кода (Remote Code Execution) без необходимости предварительной аутентификации на фоне фиксируемых реальных атак, пытающихся использовать их в сети интернет.
Детали уязвимостей и зоны риска в движке PHP
Уязвимости зарегистрированы под номерами CVE-2026-109618 (вызвана повреждением памяти при ее исчерпании — Out-of-Memory Corruption) и CVE-2026-109619 (связана со старым устаревшим состоянием гонки и асинхронностью — Stale Global State). Обе получили оценку критичности 9.2 по шкале CVSS. Фонд PHP (PHP Foundation) подтвердил, что уязвимости кроются в чувствительных механизмах, через которые проходит практически каждый запрос внутри движка — управлении памятью и обработке программных ошибок, что делает их влияние масштабным, а устранение — крайне сложным.
В фонде пояснили, что каждый PHP-сервер, обрабатывающий веб-запросы, находится в зоне риска, включая серверы Apache через mod_php, среды PHP-FPM, php-cgi, FrankenPHP, а также LiteSpeed. Проблема также затрагивает чтение области памяти процессов, что может привести к раскрытию ключей API, паролей и кэшированных конфиденциальных данных.
Ранняя утечка и атаки, опередившие патч
Координированное раскрытие информации об уязвимостях было запланировано на 22 октября, однако непреднамеренная утечка деталей и концептуальных эксплойтов (PoC) в интернет заставила команду перенести дату релиза. За часы до публичного обновления такие организации в сфере безопасности, как WatchTowr, Patchstack, Cloudflare и Hadrian, зафиксировали масштабные попытки эксплуатации, нацеленные главным образом на механизм отслеживания хода загрузки сессий (session upload-progress) в PHP.
Выпущенные обновления, содержащие исправления, включают версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также ограниченные бэкпортированные патчи исходного кода для более старых версий, таких как PHP 7.4, 8.0 и 8.1, поскольку корень проблемы исторически уходит в версии, начиная с PHP 5.4.
Роль моделей искусственного интеллекта в обнаружении
Компания облачной безопасности Wiz совместно с OpenAI и лабораториями Calif обнаружили уязвимости в августе. Несмотря на то что первоначальная проблема, связанная с исчерпанием памяти, была впервые замечена в 2020 году и повторно обнаружена в 2024-м, она не классифицировалась как непосредственная угроза, поскольку в то время ее применимость для практической эксплуатации не была доказана. Однако использование передовых моделей искусственного интеллекта позволило исследователям собрать крайне сложные цепочки эксплойтов, которые превратили уязвимость памяти в удаленное выполнение команд.
Почему это событие важно и каково его влияние?
На языке PHP работает около 70% веб-сайтов по всему миру, от него зависят такие популярные платформы управления контентом, как WordPress, Drupal и MediaWiki (на которой работает Википедия). Наличие уязвимости в базовом движке языка означает, что миллионы сайтов стали уязвимы для взлома, даже если установленные поверх них программные приложения полностью защищены и не содержат ошибок. Это обязывает системных администраторов и группы операционного обеспечения немедленно применить обновления и проверить системные журналы серверов, чтобы убедиться в отсутствии предварительных компрометаций.