Разработчики PHP закрыли две критические уязвимости, которые позволяют выполнять код на сервере
Оценка 9,2 из 10 по CVSS 4.0, в Рунете около 50 тыс. потенциально уязвимых приложений
Команда безопасности PHP 21 октября выпустила обновления против двух критических уязвимостей, позволяющих запускать произвольный код на сервере без аутентификации. Первые попытки атак на них уже зафиксированы.
Уязвимости получили номера CVE-2026-109618 и CVE-2026-109619 и известны как цепочка эксплойтов PHP2Shell. Обе оценены в 9,2 из 10 по шкале CVSS 4.0 — это актуальная международная система оценки опасности компьютерных уязвимостей.
Язык PHP относится к числу самых популярных в интернете, и на нём построены сайты на WordPress, Drupal и Joomla. Аналитическая платформа W3Techs оценивает его долю в 90,9% среди сайтов с известным серверным языком и русскоязычным контентом, это ориентировочно 500 тыс. ресурсов в Рунете. Использование PHP само по себе не означает, что сайт уязвим: риск зависит от версии, конфигурации и своевременности обновлений.
Чем опасны уязвимости
Злоумышленник может при определённых условиях отправить специально сформированный запрос к уязвимому серверу и получить возможность выполнять на нём команды. В результате возможны хищение баз данных, паролей и токенов доступа, подмена содержимого сайтов и заражение сервера вредоносным ПО. Через взломанный сервер можно проникнуть во внутреннюю сеть организации и развернуть программы-вымогатели. Особенно высок риск для PHP-серверов, доступных из интернета.
Исследователи предварительно связывают проблемы с ошибкой use-after-free, когда программа обращается к памяти уже после того, как та была освобождена. Уязвимости касаются механизма session.upload_progress, который обрабатывает загрузку файлов, и версий PHP от 5.4 до 8.5.4 включительно. Разработчики PHP указывают, что опаснее всего конфигурации Apache с модулем mod_php: для них показана атака, которая срабатывает раньше, чем начинает выполняться код самого веб-приложения.
PHP используется и в инфраструктурных решениях, поэтому под угрозой не только сайты. Влияние уязвимостей подтвердили Palo Alto Networks для PAN-OS и Panorama, Netgate для pfSense, а разработчики платформы Coolify — для всех веток версии 4.x. Cisco и Sophos проверяют возможное влияние на свои продукты.
Атаки уже начались
Технический директор Cloudflare Дейн Кнехт 21 октября сообщил, что в компании заметили первые признаки атак и дорабатывают средства защиты. В открытом доступе распространяется код для эксплуатации, хотя работоспособность всех образцов не подтверждена.
В Bi.Zone рассказали, что её специалисты по WAF обнаружили попытки эксплуатации раньше, чем вышло исправление. По словам руководителя Bi.Zone WAF Алексея Романова, в российском сегменте интернета обнаружено около 50 тыс. потенциально уязвимых веб-приложений на PHP.
Уязвимости нашли с участием искусственного интеллекта: OpenAI 11 августа 2026 года независимо выявила первопричину CVE-2026-109618, в тот же день о ней сообщила компания Calif. Ранее исходный код PHP проверяли с помощью модели Anthropic Claude Mythos PHP Foundation и Alpha-Omega. Результаты при этом проверяют и исправления разрабатывают люди.
Как защититься
Сначала нужно определить, где используется PHP, включая серверы, контейнеры и забытые приложения. После этого следует поставить исправленную версию, подходящую к используемой ветке: PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Тем, кто работает на Linux, имеет смысл узнать у поставщика своего дистрибутива, есть ли там пакеты с исправлениями. Если обновить сразу нельзя, нужно оценить компенсирующие меры и усилить мониторинг, но они не заменяют патч.
Основная команда PHP уже не выпускает штатные обновления безопасности для версии 8.1 и более ранних веток. Для них нужно проверить исправления у поставщика, перейти на поддерживаемую версию или, как советует Романов, временно ограничить доступ к приложению из интернета.
Средства защиты тоже реагируют на угрозу. Компания «ТризТех» внепланово обновила пакет экспертизы межсетевого экрана PT NGFW: в него добавлены сигнатуры, которые блокируют попытки эксплуатации. Защита от PHP2Shell появилась в PT AF Cloud компании Positive Technologies ещё до первых подтверждённых атак. Правило для обоих CVE разработали и в Bi.Zone WAF, но оно не гарантирует блокировку всех вариантов атак.
Ситуацию сравнивают с Log4Shell — уязвимостью 2021 года в библиотеке Apache Log4j, которая потребовала срочной реакции организаций по всему миру.
Между прочим. Название ransomware образовано слиянием английских слов «выкуп» и «программное обеспечение». Шифровальщики закрывают владельцу доступ к его файлам, однако сам компьютер продолжает работать. Среди общих правил защиты упоминаются регулярные копии важных файлов и своевременное обновление компонентов операционной системы.