Главная / Новости / Критические уязвимости в PHP угрожают всем CMS — обновитесь немедленно

НазадКритические уязвимости в PHP угрожают всем CMS — обновитесь немедленно

Уважаемые клиенты!

21 октября 2026 года команда PHP выпустила экстренное обновление безопасности, закрывающее две критические уязвимости в ядре интерпретатора: CVE-2026-109618 и CVE-2026-109619, получившие общее название «PHP2Shell». Если ваш веб-сервер или приложение работает на PHP (включая версию 8.2.29), он подвержен риску полной компрометации.

🚨 Суть угрозы простым языком

Злоумышленнику не нужен логин, пароль или доступ к админ-панели. Достаточно отправить на ваш сайт специально сформированный HTTP-запрос, и PHP выполнит его до того, как запустится код вашего приложения (CMS, фреймворка или самописной системы). Это означает, что любые средства защиты на уровне приложения (авторизация, проверки в CMS, WAF на уровне приложения) не смогут заблокировать атаку. Успешная эксплуатация приводит к выполнению произвольного кода на сервере с правами веб-сервера.

⚙️ Технические детали и масштаб

Обе уязвимости находятся в ядре PHP, а не в плагинах или библиотеках. Они затрагивают практически все версии, начиная с PHP 5, и имеют максимальную оценку критичности CVSS v4.0 — 9.2 из 10.

CVE-2026-109618 (RCE через повреждение при нехватке памяти): При обработке ситуации с нехваткой памяти PHP может прервать запрос, когда внутренние данные инициализированы лишь частично. Последующая очистка ошибочно принимает невалидные данные за валидные, что позволяет выполнить код атакующего.
CVE-2026-109619 (RCE через устаревшее глобальное состояние): Внутреннее состояние, принадлежащее одному запросу, может сохраниться в памяти после её освобождения. Следующий запрос, обработанный тем же рабочим процессом, использует это «устаревшее» состояние до его сброса, что также приводит к выполнению кода.

Масштаб проблемы огромен: под угрозой находятся миллионы сайтов по всему миру, включая WordPress, Drupal, Joomla, Magento, Laravel и другие платформы. Наибольшему риску подвержены серверы Apache с модулем mod_php, где атака срабатывает до выполнения кода приложения.

⚠️ Уровень риска и эксплуатации

Риск оценивается как чрезвычайно высокий. Хотя на момент выпуска патчей подтверждённых атак в дикой природе зафиксировано не было, уже 21 октября 2026 года появились сообщения о первых попытках эксплуатации и публикации Proof-of-Concept (PoC) эксплойтов. Эксперты предупреждают о неминуемой массовой волне атак, сравнивая ситуацию с Log4Shell и Heartbleed.

✅ Что нужно сделать немедленно

1. Обновите PHP (единственное полное решение).

Обновите интерпретатор на сервере до одной из исправленных версий:

PHP 8.2.35 (для ветки 8.2.x)
PHP 8.3.36
PHP 8.4.27
PHP 8.5.12

2. Проверьте сервер на признаки компрометации.

Если ваш сервер был доступен из интернета до обновления, проведите проверку: ищите подозрительные процессы от имени веб-сервера, неожиданные изменения в файлах, веб-шеллы и аномальные записи в логах (большие POST-запросы, ошибки нехватки памяти). При обнаружении признаков компрометации смените все учётные данные (пароли к базам данных, API-ключи), к которым имел доступ веб-сервер.

📚 Официальные источники

PHP.net — Security advisory: Critical remote code execution vulnerabilities, update now: https://www.php.net/archive/2026.php#2026-10-21-5
Censys Advisory — Oct 21: PHP Unauthenticated Remote Code Execution: https://censys.com/advisory/cve-2026-109618-cve-2026-109619/
Cisco Talos — Two critical RCEs in PHP core: https://blog.talosintelligence.com/two-critical-rces-in-php-core/
Datadog Security Labs — PHP2Shell: detection, analysis, and remediation: https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/
Ubuntu — php2shell (CVE-2026-109618 and CVE-2026-109619): fixes available: https://ubuntu.com/blog/php2shell-vulnerability-fixes-available
BSI (Федеральное ведомство по безопасности в информационной технике, Германия) — Kritische Schwachstellen bedrohen Webanwendungen weltweit: https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2026/2026-297981-1032_bits.html

Не откладывайте обновление. Промедление с установкой PHP 8.2.35 (или другой исправленной версии) равносильно оставлению сервера открытым для атаки, которая с высокой вероятностью приведёт к полной компрометации. Если вам требуется помощь с обновлением или проверкой конфигурации, обратитесь в нашу службу поддержки.