PHP Project закликав терміново оновити PHP через критичні вразливості PHP2Shell
PHP Project закликав оновити PHP через критичні вразливості PHP2Shell і надав тимчасові заходи захисту.
Проєкт PHP закликав адміністраторів негайно оновити програмне забезпечення через дві критичні вразливості, відомі як PHP2Shell. Проблеми відстежують за ідентифікаторами CVE-2026-109618 та CVE-2026-109619, кожна з них має оцінку критичності 9,2. Вразливості зачіпають більшість збірок PHP і можуть дозволити зловмисникам виконувати код на серверах без автентифікації або зчитувати чутливу пам’ять процесів.
Як повідомляє ZDNET, виправлення вже випустили для версій PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. PHP використовується для роботи багатьох сайтів і сервісів, зокрема платформ на базі WordPress та електронної комерції.
Спроби експлуатації вже фіксують
Дослідники Wiz заявили, що вразливості можуть відкрити атакувальникам доступ до даних і корпоративних мереж через скомпрометовані сервери. За даними Amazon Threat Intelligence, спроби експлуатації з’явилися за чотири дні до публічного розкриття інформації, а невдовзі після нього почали поширюватися демонстраційні коди атак.
Amazon Threat Intelligence також повідомила про пов’язану з ланцюгами атак PHP2Shell активність, спрямовану на розгортання ботнету на кшталт Mirai. Генеральний директор Cloudflare Меттью Прінс заявив, що мережа компанії реєструє мільйони спроб експлуатації цих вад.
Тимчасове пом’якшення ризику
23 жовтня PHP Project оприлюднив додаткову рекомендацію для захисту від окремого, менш імовірного вектора віддаленого виконання коду, який отримав номер CVE-2026-115560. До наступного планового випуску виправлень організаціям радять встановити параметр session.upload_progress.enabled=0.
За поясненням PHP Project, цей сценарій потребує нетипової конфігурації: застосунок має використовувати параметр session.serialize_handler зі значенням php_binary або php_serialize, а потім змінювати його на php під час роботи перед викликом session_start(). Якщо застосунок не змінює обробник серіалізації динамічно, функцію відстеження прогресу завантаження можна не вимикати.
Агентство національної безпеки США порадило посилити увагу до PHP2Shell у найближчі тижні, пріоритетно встановлювати оновлення від постачальників, провести інвентаризацію залежних від уразливих версій PHP систем і, за потреби, посилити журналювання та замінити пакети, термін підтримки яких завершився.
