Что известно об уязвимостях PHP2Shell
- Официальные идентификаторы: CVE-2026-109618 и CVE-2026-109619. Обе — типа remote code execution (RCE).
- Эксплуатация возможна удалённо, без аутентификации: злоумышленнику не нужен пароль или доступ к учётной записи.
- Уязвимости обнаружили в 2024 году, но тогда их сочли неэксплуатируемыми. Позже исследователи из Calif нашли способ атаки и сообщили PHP Foundation.
- Патчи вышли в среду; крупные компании получили их заранее по эмбарго. Однако Amazon зафиксировал попытки эксплуатации за неделю до публикации — с 17 октября.
- PHP Foundation обвинила одну компанию в преждевременной публикации патчей, но это не объясняет недельную активность.
Кому нужно срочно обновлять PHP и что проверить
Если ваш сайт или сервер работает на PHP — обновитесь немедленно. Под угрозой не только сайты, но и внутренние системы: роутеры, файрволы, VPN, хранилища, где PHP встроен как компонент. Проверьте все устройства, а не только веб-серверы.
После обновления убедитесь, что патчи применились, и просмотрите логи на предмет подозрительной активности с 17 октября. Учитывая, что злоумышленники уже начали эксплуатировать уязвимости, риск компрометации высок. Для legacy-систем без поддержки обновлений рассмотрите изоляцию или вывод из эксплуатации.
В долгосрочной перспективе стоит оценить переход на memory-safe языки, такие как Python, Rust или Swift. Они не подвержены классу уязвимостей, связанных с памятью, которые активно эксплуатируются хакерами (по данным NSA, около 75% атак).
