PHP выпустил экстренные обновления для устранения двух уязвимостей безопасности, которые могут позволить проводить атаки на серверы. Проблема затрагивает также сайты WordPress, интернет-магазины и корпоративные приложения.
В 21 октября 2026 г. В PHP, языке, используемом многочисленными веб-сайтами и онлайн-приложениями, исправлены две критические уязвимости. Эти уязвимости, известные как... PHP2Shell, Это может позволить злоумышленнику выполнить код на сервере без наличия учетных данных для входа.
Проблема не связана с какой-либо конкретной CMS или уязвимым плагином. Уязвимости находятся непосредственно в PHP-движке и, следовательно, могут затронуть даже обновленные и правильно настроенные сайты. Команда безопасности выпустила исправления раньше запланированного срока, после того как была опубликована техническая информация об уязвимостях.
PHP2Shell: Что это за две уязвимости и почему они опасны?
Выявленные уязвимости: CVE-2026-109618 и CVE-2026-109619, Оба получили оценку тяжести состояния. 9,2 из 10 по 4-балльной шкале CVSS, система, используемая для оценки критичности компьютерных уязвимостей.
Обе проблемы связаны с управлением памятью в PHP. При определенных условиях злоумышленник может использовать эти ошибки для удаленного выполнения кода — метод, известный как Удаленное выполнение кода (RCE).
Первая уязвимость возникает при обработке ошибок, связанных с нехваткой памяти. Вторая затрагивает внутреннюю информацию, которая может оставаться доступной даже после завершения запроса.
Возможные последствия особенно серьезны: злоумышленник может выполнить инструкции с привилегиями процесса PHP, получить доступ к конфиденциальной информации или поставить под угрозу работу сайта.
Тяжесть состояния была подтверждена официальная команда PHP, которые призвали администраторов немедленно внедрить обновления.
WordPress, Joomla и электронная коммерция: какие сайты затронуты?
Уникальность PHP2Shell заключается в том, что уязвимости не обязательно зависят от программного обеспечения, использованного для создания сайта.
WordPress, Joomla, Drupal, Magento и пользовательские PHP-приложения. Это может произойти при использовании уязвимых версий языка.
Это означает, что сайт с обновленными темами, плагинами и CMS не защищен автоматически. Если сервер продолжает использовать некорректную версию PHP, риск может сохраняться.
Согласно официальным уведомлениям, потенциально уязвимы несколько сред выполнения, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наибольший риск выявлен в конфигурациях Apache с mod_php, где эксплойт был продемонстрирован еще до выполнения кода сайта.
Для бизнеса последствия могут затронуть не только доступность страниц, но и данные о клиентах, подключенные системы и непрерывность работы онлайн-сервисов.
Какие версии PHP были обновлены?
Официальные исправления доступны в следующих версиях:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Установленные версии, отличающиеся от корректных версий соответствующей ветки, следует проверить и обновить.
Особую обеспокоенность вызывают версии PHP 8.1 и более ранние, которые больше не получают регулярных обновлений от проекта PHP. Некоторые поставщики распространяют исправления специально для этих сред, но вам следует проверить их доступность и спланировать переход на поддерживаемые версии.
Вмешательство должно касаться окружающей среды, в которой расположен объект: Обновление WordPress или его плагинов само по себе не решает проблему с PHP2Shell..
Были ли уже какие-либо нападения?
Первая информация об уязвимостях появилась в открытом доступе 20 октября, еще до выпуска обновлений безопасности.
Несколько специализированных компаний, в том числе watchTowr, Облачное сияние Компании Patchstack и Patchstack сообщили о попытках эксплуатации, зафиксированных на их инфраструктуре.
Важно отличать эти попытки от успешных взломов: одних лишь публичных отчетов недостаточно для количественной оценки количества фактически взломанных сайтов.
Национальное агентство по кибербезопасности через итальянскую группу реагирования на киберугрозы (CSIRT) также подчеркнуло критическую важность уязвимостей и необходимость оперативного вмешательства.
Временные меры защиты могут снизить некоторые возможности атак, но они не устраняют проблему полностью. Решение, предложенное разработчиками, остается неизменным:’Применение исправлений безопасности к PHP.
Что это значит для вашего бизнеса?
Обнаружение PHP2Shell наглядно демонстрирует, насколько безопасность сайта зависит от инфраструктуры, на которой он размещен, а не только от обновлений, отображаемых в панели администратора.
Для снижения рисков компаниям следует обратить внимание на три области:
- Проверьте версию PHP и среду хостинга., Спросите у своего поставщика, были ли уже внесены необходимые исправления.
- Запланируйте обновление и проверьте его совместимость., особенно в условиях наличия электронной коммерции, специализированных плагинов и интеграции с программным обеспечением для управления.
- Проверка систем организма после операции, проверка корректной работы сайта и анализ любых аномалий в журналах и файлах.
Для компании обеспечение безопасности своего веб-сайта означает защиту данных, операционной деятельности и надежности услуг, предоставляемых клиентам.
DigiFe помогает компаниям проверять и управлять безопасностью веб-сайтов., выявление уязвимостей, устаревших конфигураций и действий, необходимых для поддержания инфраструктуры в актуальном состоянии.
Ознакомьтесь с услугами Кибербезопасность DigiFe оценить состояние безопасности веб-сайта вашей компании.
