Обнаружены критические уязвимости в языке программирования PHP

В языке программирования PHP были обнаружены критические уязвимости, получившие общее название PHP2Shell. Данные недостатки безопасности позволяют неавторизованным третьим лицам выполнять программы на сервере при определенных условиях.

Группа уязвимостей PHP2Shell включает в себя две ошибки, зарегистрированные как CVE-2026-109618 и CVE-2026-109619. Проблема затрагивает само ядро PHP, которое служит фундаментом для многих систем, включая системы управления контентом, такие как WordPress, а также сайты с личными кабинетами и системы бронирования. По данным Wiz Research, PHP обеспечивает работу примерно 70 процентов веб сайтов в мире. Разработчики PHP оценили степень серьезности данных уязвимостей по шкале CVSS v4.0 в 9.2 балла, что соответствует уровню срочности.

Команда разработчиков выпустила исправления в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Агентство по кибербезопасности и инфраструктурной безопасности США, CISA, настоятельно рекомендовало организациям незамедлительно применить обновления. Аналогичные предупреждения выпустили Организация по продвижению информатики, IPA, и JPCERT/CC.

Технический анализ показывает, что атаки могут происходить на этапе до проверки авторизации пользователя. В случае с CVE-2026-109618 была продемонстрирована возможность проникновения через mod_php в Apache до начала работы кода приложения. Для PHP-FPM подтверждено удаленное выполнение кода через пути кода приложения. Кроме того, исследователи сообщили, что даже без запуска вредоносных программ возможна утечка паролей, токенов аутентификации и ключей API из памяти PHP.

Хотя многие опубликованные примеры кода для атак работают нестабильно, эксперты предупреждают, что опытные злоумышленники могут адаптировать их под конкретные среды. Команда по поиску угроз Tanium подтвердила возможность выполнения кода с помощью только HTTP запросов в лабораторной среде с использованием PHP 8.5.11 и Apache mod_php. CISA добавила обе уязвимости в каталог Known Exploited Vulnerabilities, что указывает на наличие достоверных доказательств попыток или успехов эксплуатации в реальных условиях.

В Японии ряд организаций предприняли превентивные меры, временно приостановив работу сервисов для проверки безопасности. Среди них оказались веб сайты и приложения региональных банков, системы поиска официальных документов муниципалитетов, а также некоторые функции хостинг провайдеров и сервисов по созданию веб сайтов. Все эти случаи были описаны как профилактические меры, а не результат успешных атак.