PHP2Shell: оновіть PHP — дві критичні вразливості RCE

21 жовтня проєкт PHP випустив екстрені оновлення безпеки, які закривають дві критичні вразливості: через них зловмисник може виконати код на вебсервері, не входячи в систему. Помилкам присвоєно номери CVE-2026-109618 і CVE-2026-109619, а разом їх називають PHP2Shell. Обидві мають оцінку 9,2 (критична) за CVSS 4.0, повідомляє Національний центр кібербезпеки Швейцарії.

На PHP працює велика частина інтернету, зокрема сайти на WordPress, Drupal і Joomla, тож це одне з найважливіших серверних оновлень року.

У чому проблема

Обидві вади мають спільне коріння: якщо запит завершується аварійно, PHP може залишити пам'ять у пошкодженому стані.

• CVE-2026-109618 пов'язана з обробкою нестачі пам'яті. У бюлетені PHP сказано, що виділення пам'яті може зірватися, поки пам'ять запиту ще не до кінця ініціалізована, і код завершення потім працює з некоректними даними. Кілька способів спровокувати нестачу пам'яті перетворюють це на віддалене виконання коду.
• CVE-2026-109619 стосується «застарілого» глобального стану: дані одного запиту можуть залишатися у воркері й використовуватися наступним запитом. Це відкриває шлях до use-after-free, витоку пам'яті та виконання коду з правами вебворкера.

Команда безпеки PHP зазначає, що вразливі всі інсталяції, які обробляють вебзапити: PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP і LiteSpeed. Найвищий ризик — у mod_php: продемонстрований експлойт спрацьовує ще до запуску коду застосунку.

Які версії виправляють проблему

Оновіться до PHP 8.5.12, 8.4.27, 8.3.36 або 8.2.35 — залежно від гілки. PHP 8.1 і старіші офіційно не підтримуються. Деякі дистрибутиви Linux і LTS-постачальники переносять виправлення, а команда PHP опублікувала мінімальні бекпорти вихідного коду для PHP 7.4, 8.0 і 8.1. Оскільки дистрибутиви часто латають пакети без зміни версії, ту саму цифру у версії не варто вважати ознакою вразливості — перевірте бюлетень свого постачальника.

Чи вже є атаки

Ще до релізу технічний директор Cloudflare повідомив про перші атаки та тимчасові правила фаєрвола. Британський NCSC закликав організації негайно оновитися або вимкнути PHP-системи до встановлення латок. Розробники PHP наголошують: тимчасові заходи не замінюють оновлення.

Що зробити зараз

1. Знайдіть усі системи з PHP, включно з пристроями та адмінпанелями, у які він вбудований.
2. Встановіть виправлену версію або оновлення від постачальника.
3. Перезапустіть PHP-FPM та інші довготривалі воркери, перезберіть образи контейнерів.
4. Перегляньте журнали на збої, дивні запити чи змінені файли: оновлення не скасовує вже наявного зламу.

Якщо у вас просто сайт на хостингу, запитайте провайдера, чи оновлено PHP. Більше про безпеку в мережі — у матеріалах про нові попередження Chrome щодо ClickFix та витік через посилання Meta Muse.