Команда разработчиков PHP и специалисты по безопасности раскрыли подробности о двух опасных брешах, получивших общее имя php2shell. Проблемы затрагивают механизмы управления оперативной памятью и обработки сбоев, заложенные в кодовую базу языка много лет назад. Изначально релиз планировали на день позже, но публикацию ускорила утечка. Обеим ошибкам присвоен рейтинг опасности 9,2 балла по шкале CVSS.
Механизм атак через память и системные сбои
Первая уязвимость зарегистрирована как CVE-2026-109618. Она срабатывает при достижении лимита оперативной памяти (memory_limit). Если злоумышленник отправляет на сайт специфически сформированные вложенные массивы или манипулирует формами загрузки, PHP аварийно завершает работу скрипта. На этапе очистки памяти интерпретатор сбоит, что дает возможность считывать данные и запускать команды с привилегиями веб-сервера.
Вторая брешь, CVE-2026-109619, связана с обработкой фатальных ошибок. Для ее эксплуатации требуется цепочка минимум из двух HTTP-запросов: первый переводит обработчик в нестабильное состояние, а второй активирует исполнение шелл-кода. Исследователи из компании Calif наглядно показали взлом сервера на базе фреймворка Laravel за 38 секунд. Для атаки не нужны учетные данные, однако для срабатывания требуется отправка от нескольких тысяч до десятков тысяч запросов, что упрощает их автоматизацию.
Масштаб проблемы, сетевое оборудование и закрывающие патчи
Уязвимости присутствуют во всех релизах PHP начиная с ветки PHP 5. Под ударом находятся инсталляции под Linux и Windows, использующие модули mod_php, PHP-FPM или LiteSpeed (LSAPI). Учитывая популярность CMS WordPress, Drupal и Typo3, эксперты немецкого BSI рекомендовали немедленно закрыть бреши, а некоторые ведомства временно отключили онлайн-сервисы. По данным Cloudflare, в сети уже фиксируются миллионы попыток сканирования и атак.
Проблема затронула и сетевые устройства: компания Cisco подтвердила подверженность php2shell продуктов серий Expressway и URWB. Из-за особенностей релизного цикла исправление URWB версии 27.1.1 запланировано лишь на февраль 2027 года, а для Expressway точные сроки выхода патча 15.5.21 еще не названы.
Защитные сборки доступны на официальном сайте php.net, а ведущие дистрибутивы Linux — Debian, Ubuntu, Fedora, Red Hat, SUSE, Gentoo и Slackware — уже выпустили обновленные пакеты:
- PHP 8.5.12;
- PHP 8.4.27;
- PHP 8.3.36;
- PHP 8.2.35.
Для устаревших веток 7.4, 8.0 и 8.1 готовятся бэкпорты, однако разработчики настоятельно рекомендуют перейти как минимум на ветку 8.3.
Что это значит для вас
Обычным пользователям и владельцам ПК ничего настраивать не нужно: уязвимость угрожает исключительно серверному стеку и веб-интерфейсам сетевого оборудования. Если же вы держите собственный сайт, VPS или управляете инфраструктурой в России, действуйте без промедления:
- Обновите пакеты PHP через системный репозиторий вашей ОС или соберите свежую версию из исходников.
- Перезапустите службы веб-сервера и демоны
php-fpm, иначе активные процессы продолжат удерживать в памяти уязвимые библиотеки. - Обновите контейнеры, если используете Docker, загрузив свежие базовые образы.
- Проверьте сетевые устройства и NAS на базе PHP. Если производитель задерживает патчи (как в случае с Cisco), ограничьте доступ к веб-панелям администратора и используйте правила Web Application Firewall (WAF).
