PHP2Shell: исследователи сообщили о двух критических уязвимостях в PHP

Исследователи сообщили о двух уязвимостях удалённого выполнения кода в PHP — CVE-2026-109618 и CVE-2026-109619. Проблемы получили общее название PHP2Shell, а команда PHP оценила их критичность в 9,2 балла по шкале CVSS v4.0.

Уязвимости представляют риск для веб-приложений и серверов, поскольку потенциально позволяют атакующему выполнить произвольный код удалённо. О первых попытках эксплуатации уже сообщил CTO Cloudflare. Информацию об обнаруженных атаках передало агентство Reuters.

Официальный выпуск исправлений запланирован на 21 октября в 17:00 по московскому времени. Точный перечень затронутых и исправленных версий PHP разработчики намерены опубликовать одновременно с обновлением. До этого администраторам следует определить используемые версии PHP и заранее подготовить установку патчей.

Предварительные сведения о механизме атаки

По предварительной оценке исследовательской компании GMO Flatt Security, PHP2Shell может быть связана с обработкой сессий и механизмом Session Upload Progress в расширении ext/session. В качестве частичной временной меры специалисты обсуждают отключение этой функции.

Однако одной только смены настройки недостаточно, чтобы считать сервер защищённым. По оценке исследователей, даже после отключения Session Upload Progress эксплуатация уязвимости может оставаться возможной. Поэтому эту меру следует рассматривать лишь как дополнительное снижение риска до выхода и установки официальных исправлений.

Что делать администраторам

Организациям рекомендуется проверить версии PHP на всех публично доступных системах, ограничить лишние точки входа, усилить мониторинг веб-приложений и следить за появлением технических деталей от разработчиков. После публикации обновлений необходимо установить исправленные версии в приоритетном порядке.

Дополнительный уровень защиты могут обеспечить средства веб-экранирования, включая WAF. Анализ трафика, обнаружение аномалий и правила фильтрации помогают снизить вероятность успешной атаки, в том числе при эксплуатации ещё не изученных сценариев. При этом компенсирующие меры на уровне WAF не заменяют обновление PHP.

Перед применением защитных правил важно проверить, какие версии PHP используются в инфраструктуре и насколько выбранные настройки WAF подходят для конкретных веб-приложений и API. Это позволит сократить окно риска до установки официальных патчей.