php2shell: дві критичні вразливості в самому PHP, атаки почалися ще до виправлення

17 жовтня пастка для хакерів, яку тримає Amazon, зафіксувала атаку на вразливість у PHP, що ще не мала ні назви, ні виправлення. Через чотири дні, 21 жовтня 2026 року, проєкт PHP випустив термінові оновлення для двох вразливостей, які разом тепер називають php2shell.

Оновіться зараз: PHP 8.5.12, 8.4.27, 8.3.36 або 8.2.35

PHP працює на серверах приблизно семи з десяти сайтів, чия мова відома, зокрема більшості сайтів на WordPress. Вразливості в самому рушії PHP, тож оновлення WordPress, плагінів чи коду сайту не допомагає.

У чому проблема?

Обидві вразливості дають змогу зловмиснику без входу виконати свій код на сервері з правами процесу вебсервера. PHP оцінює обидві на 9,2 з 10 (CVSS 4.0), згідно з його бюлетенем безпеки.

• CVE-2026-109618: коли PHP вичерпує пам'ять на півдорозі підготовки запиту, очищення може довіритися напівготовим даним.
• CVE-2026-109619: залишки стану від одного запиту вказують на звільнену пам'ять, до якої дістається наступний запит того ж процесу.

Уражено всі способи віддавати PHP у мережу: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP і LiteSpeed, за оглядом Tenable. Найстаріший уражений код сягає PHP 5.4.

Чи їх уже використовують?

Так, спроби підтверджено. Amazon Threat Intelligence побачив першу 17 жовтня, а 21 жовтня ще кілька від різних груп. Про атаки повідомляють також Cloudflare і watchTowr. Чи вони вдалі, поки невідомо; PHP Foundation на момент випуску не знайшла робочого публічного експлойту. Код, що видає себе за нього, ходить мережею і сам може містити шкідливе ПЗ.

Випуск перенесли з 22 жовтня, бо номери CVE завчасно витекли.

Що робити власникам сайтів?

1. Оновіть PHP до 8.5.12, 8.4.27, 8.3.36 або 8.2.35 чи встановіть виправлений пакет хостингу або дистрибутиву Linux, потім перезапустіть усі процеси PHP.
2. Старі версії: PHP 7.4–8.1 мають лише виправлення у вихідному коді, 5.4–7.3 не мають нічого. Перейдіть на підтримувану гілку. Підтримка PHP 8.2 закінчується 31 грудня 2026 року.
3. Якщо оновитися сьогодні не можна: задайте memory_limit=-1 так, щоб застосунки не могли його змінити, і session.upload_progress.enabled=0 (на PHP 8.5 ще fatal_error_backtraces=0), потім перезапустіть. Це тимчасові заходи, а не виправлення, наголошує Datadog Security Labs.
4. Перевірте журнали з 17 жовтня: дуже великі форми з назвами полів у мегабайти, помилки пам'яті «Unknown on line 0», падіння процесів Apache і насамперед запуск оболонки процесом вебсервера.

Чого ми ще не знаємо

Скільки серверів зламано і чи існує надійний публічний експлойт. Оцінки відкритих в інтернеті серверів з PHP коливаються від 1,3 до понад 1,9 мільйона. Стаття актуальна на 22 жовтня 2026 року і не відстежує пізніших повідомлень.

Власні сайти ARMSMA, armsma.org і Nocton, не працюють на PHP. Наш безкоштовний трекер вразливостей показує вади, які зловмисники вже використовують, а перевірка домену показує, що відкриває ваш сайт.