Что произошло

21 октября команда безопасности PHP опубликовала бюллетень о двух критических уязвимостях, которые могут дать удалённое выполнение кода без аутентификации, и призвала всех пользователей обновиться немедленно1. Под угрозой все установки PHP, обслуживающие веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Самый высокий риск команда PHP видит у mod_php: там продемонстрирован эксплойт, в котором запрос без авторизации запускает атаку ещё до выполнения кода приложения1.

Обе ошибки в самом интерпретаторе, поэтому под удар попадают сайты на WordPress, Drupal, Laravel и любом другом PHP-движке. По оценке Wiz, на PHP работает около 70% сайтов в мире2.

Механизм: две ошибки в управлении памятью

  • CVE-2026-109618, «RCE через OOM-повреждение». Обработка нехватки памяти может прервать PHP, пока внутренние данные запроса инициализированы лишь частично. Затем очистка запроса принимает испорченные данные за корректные1.
  • CVE-2026-109619, «RCE через устаревшее глобальное состояние». Внутреннее состояние запроса переживает освобождение памяти, на которую ссылается. Следующий запрос, попавший в тот же воркер, может использовать это состояние до штатной инициализации1.

BleepingComputer отмечает, что у обеих ошибок общий корень: PHP может оставить память повреждённой, когда запрос завершается аварийно4. По данным The Hacker News, уязвимый код существовал больше десяти лет и затрагивает версии вплоть до PHP 5.45.

Роль ИИ

Уязвимости нашли исследователи Calif и Wiz с помощью ИИ-инструментов, анализирующих код быстрее людей и старых систем. Исследователь Calif Райан Остин назвал находку самой серьёзной уязвимостью в своей практике, а OpenAI, чьи технологии использовались, — одной из самых значимых проблем безопасности за последнее время2. По оценке Wiz, цепочка эксплуатации находилась «на грани того, чего исследователи-люди практически могут достичь»6. Обратная сторона: OpenAI признаёт, что ИИ помогает и атакующим быстрее создавать эксплойты2.

Утечка, атаки и реакция властей

Детали утекли в сеть до запланированной даты, и PHP пришлось ускорить публикацию2. Cloudflare включил защитные WAF-правила для всех тарифов, включая бесплатный, примерно за девять часов до раскрытия и видит, как атакующие меняют нагрузку, чтобы обойти правила3. Глава Cloudflare Мэттью Принс сообщил о тысячах попыток эксплуатации до анонса и миллионах после; Amazon заявила о попытках атак за несколько дней до публичного раскрытия2. watchTowr фиксирует попытки эксплуатации, но на момент публикаций подтверждённых успешных взломов не было6.

АНБ США потребовало отключать системы, которые нельзя обновить немедленно, британский NCSC — проверить серверы на бэкдоры. Из предосторожности часть систем отключили Wikimedia, правительство Финляндии и нидерландское агентство кибербезопасности2.

Что делать прямо сейчас

  1. Обновите PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35. PHP 8.1 и старше проект больше не поддерживает; для 7.4, 8.0 и 8.1 выпущены минимальные исходные бэкпорты, дистрибутивы получили патчи заранее1.
  2. Если сайт ведёт хостинг или подрядчик — спросите, установлены ли исправления PHP. Обновление WordPress и плагинов проблему не решает23.
  3. Если обновиться сразу нельзя — временные меры из бюллетеня (memory_limit=-1 без возможности переопределения, низкий post_max_size, session.upload_progress.enabled=0 с перезапуском воркеров) снижают риск, но не делают установку безопасной1. NCSC и АНБ советуют на время отключить сайт2.
  4. Проверьте следы компрометации и не отключайте WAF на время обновления23.
  5. Остерегайтесь фишинга, который будет эксплуатировать громкую новость: письма «срочно обновите сайт», «ваш хостинг взломан» и просьбы сменить пароль проверяйте по официальным каналам сервиса2.

Ограничения

Картина меняется: данные об эксплуатации основаны на телеметрии отдельных компаний, подтверждённых взломов на момент публикации не сообщалось, а точное число уязвимых серверов неизвестно — 70% описывают распространённость PHP, а не измеренную уязвимость6.

  1. [1] Security advisory: Critical remote code execution vulnerabilities, update nowPHP Group
  2. [2] What is PHP and why did it spark a global cyber-security scramble?BBC News
  3. [3] Cloudflare deploys protections against php2shell vulnerabilityCloudflare
  4. [4] PHP ships emergency patches for critical PHP2Shell flawsBleepingComputer
  5. [5] PHP Issues Emergency Patches for Two Critical PHP2Shell RCE Flaws as Exploit Attempts EmergeThe Hacker News
  6. [6] PHP2Shell Patches Land as First Exploitation Attempts Hit SensorsSecurityWeek