← 输入框|ru.wikipedia.org|刷新
Перейти к содержанию

PHP2Shell

Материал из Википедии — свободной энциклопедии
Сервис «Фабрикатор» от Фонда Викимедиа, отключённый в качестве меры предосторожности

CVE-2026-109618 и CVE-2026-109619 — две уязвимости в PHP, которые позволяют осуществлять удалённое выполнение кода. Вместе они известны под названием PHP2Shell. О существовании этих уязвимостей было публично объявлено 20 октября 2026 года[1]. На следующий день были выпущены экстренное исправление и подробная информация об уязвимостях[2].

Обнаружение

[править | править код]

Уязвимости были независимо обнаружены калифорнийской компанией по кибербезопасности Calif в рамках проекта OpenAI «Patch the Planet», а также израильско-американской компанией в области облачной безопасности Wiz, Inc[3]. По данным Wiz, уязвимы версии PHP начиная с 5.4 и вплоть до PHP 8[4].

Согласно OpenAI, компания Calif выявила одну из уязвимостей с помощью модели GPT-5.6 Sol, а Wiz независимо обнаружила обе и сообщила о них[3]. По данным Wiz, она направила отчёт команде PHP 24 августа 2026 года, а PHP подтвердила получение 21 сентября[4]. Уязвимый код присутствовал в PHP более десяти лет[4][5].

CVE-2026-109618 («RCE via OOM corruption») связана с нехваткой памяти: если PHP прерывается из-за нехватки памяти, когда данные запроса инициализированы лишь частично, при очистке запроса эти некорректные данные могут быть восприняты как допустимые. CVE-2026-109619 («RCE via stale global state») возникает, когда внутреннее состояние запроса переживает освобождение занимаемой им памяти и может быть использовано следующим запросом на том же рабочем процессе до сброса[2].

Разработчики PHP оценили уязвимость в 9,2 балла из 10 по версии 4.0 общей системы оценки уязвимостей CVSS, присвоив ей критический уровень опасности[6]. В то же время компания по кибербезопасности watchTowr присвоила ей максимальную оценку — 10,0 балла[7].

Исправления

[править | править код]

Разработчики PHP выпустили исправленные версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Исправления исходного кода были опубликованы для версий 7.4, 8.0 и 8.1, однако официальные обновлённые бинарные сборки для этих версий выпущены не были, поскольку срок их поддержки завершён; поставщики дистрибутивов и услуг долгосрочной поддержки могут распространять собственные исправления[2]. В бюллетене также перечислены меры, снижающие риск отдельных векторов атак, но подчёркивается, что они не делают установку безопасной, а полностью решает проблему только обновление[2]. 21 октября в 13:34 по UTC сведения об обеих уязвимостях были опубликованы в предупреждениях GitHub Security Advisories[8][9]. Это произошло за 26 минут до объявленного времени публикации. Вскоре после этого был обновлён сайт PHP.

Объявление об обновлении до официального выпуска исправлений произошло после того, как сведения об уязвимостях просочились на форум Hacker News и были подтверждены аккаунтом компании по кибербезопасности watchTowr Labs в социальной сети X[10]. В предварительном уведомлении на PHP.net пользователям рекомендовали подготовиться к обновлению и установить исправление сразу после его выхода[10][1].

Компания Sansec, специализирующаяся на информационной безопасности, ожидала, что «массовые атаки начнутся в течение 15 минут после выпуска»[11]. До окончания периода эмбарго в интернете начали распространяться эксплойты для проверки концепции (PoC), технические разборы и частичные меры по снижению риска[7][12].

Cloudflare сообщила о признаках эксплуатации уязвимости ещё до публичного выпуска исправления и развернула временные правила межсетевого экрана веб-приложений (WAF) в качестве временной меры защиты[13][14].

Подразделение Amazon Threat Intelligence зафиксировало попытку эксплуатации уязвимостей 17 октября — за четыре дня до публичного раскрытия — на сети ловушек (honeypot) MadPot; 21 октября, в день выхода исправлений, были обнаружены и другие попытки с использованием PoC-эксплойтов. Неясно, как злоумышленник узнал об уязвимостях в период эмбарго[15][5].

Последствия

[править | править код]

PHP используется примерно на 69 % веб-сайтов, в том числе на сайтах, работающих с такими системами управления контентом, как Drupal, Joomla и WordPress. Поэтому потенциальные последствия уязвимостей могли затронуть большое количество сайтов[16][17]. Эта цифра отражает долю сайтов, использующих PHP, а не число уязвимых или взломанных ресурсов; сайты с установленными исправлениями от этих уязвимостей защищены[5].

После рекомендаций CERT-EU и Центра национальной компьютерной безопасности Великобритании многие организации по всей Европе в качестве меры предосторожности временно отключили свои веб-сайты в ожидании исправлений. Среди них были правительственный портал Нидерландов Overheid.nl, национальная платформа школьной коммуникации Дании, все общедоступные веб-сервисы правительства Финляндии и сайты местных органов власти Франции[18][19][20][21]. Германский федеральный ИТ-центр ITZBund также отключил несколько государственных сайтов; официальные представители назвали это мерой предосторожности и заявили, что инцидентов безопасности выявлено не было[22].

21 октября Европейская комиссия, ENISA, CERT-EU, Europol EC3 и сеть CSIRT опубликовали совместное заявление: организациям рекомендовано выявить приложения на PHP, согласовать действия с хостинг-провайдерами и в первую очередь обновить доступные из интернета системы; если немедленно исправить уязвимость невозможно, — временно вывести приложения из публичной сети. Также рекомендуется проверить стороннее программное обеспечение, которое может использовать PHP внутри себя[23].

Агентство национальной безопасности США рекомендовало отключать веб-сайты, если их невозможно немедленно обновить[24]. Фонд Викимедиа отключил многие службы, а форумы 4Chan и Something Awful[англ.] прекратили работу[25][26][27].

Часть интернета в Японии также оказалась недоступна. В частности, перестала работать игра Shadowverse: Worlds Beyond[англ.], а также множество сайтов электронной коммерции[28].

См. также

[править | править код]

Примечания

[править | править код]
  1. 1 2 PHP: News Archive - 20 Oct 2026 (англ.). www.php.net (20 октября 2026). Дата обращения: 21 октября 2026.
  2. 1 2 3 4 PHP: News Archive - 21 Oct 2026 (англ.). www.php.net (21 октября 2026). Дата обращения: 21 октября 2026.
  3. 1 2 Patch the Planet: global response coordination as agents uncover critical vulnerabilities. OpenAI (Press release). 21 октября 2026. Дата обращения: 21 октября 2026.
  4. 1 2 3 PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet. Дата обращения: 21 октября 2026.
  5. 1 2 3 What's the PHP coding flaw that could pull down 70 percent of the internet?. Al Jazeera (англ.). 22 октября 2026. Дата обращения: 22 октября 2026.
  6. ↑ php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release. news-web.php.net. Дата обращения: 21 октября 2026.
  7. 1 2 Abrams, Lawrence. PHP warns admins of two critical flaws, emergency patches coming tomorrow (амер. англ.). BleepingComputer. Дата обращения: 21 октября 2026.
  8. ↑ RCE via OOM corruption (21 октября 2026). Дата обращения: 21 октября 2026.
  9. ↑ RCE via stale global state (21 октября 2026). Дата обращения: 21 октября 2026.
  10. 1 2 Khandelwal, Swati (21 октября 2026). PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert. The Hacker News (англ.). Дата обращения: 21 октября 2026.
  11. ↑ Goodin, Dan. PHP warns it plans to release 2 emergency patches imminently (англ.). Ars Technica (21 октября 2026). Дата обращения: 21 октября 2026. Архивировано 21 октября 2026 года.
  12. ↑ Only for the curious... jackalsyn.com. Дата обращения: 21 октября 2026.
  13. ↑ Knecht, Dane. Dane Knecht 🦭 (@dok2001) on X. X (formerly Twitter) (21 октября 2026).
  14. ↑ Hold on to your butts: Web admins braced for emergency PHP updates to plug leaked exploits. PC Gamer (англ.). 21 октября 2026. Дата обращения: 21 октября 2026.
  15. ↑ Someone Tried to Exploit PHP2Shell 4 Days Before the Vulnerabilities Were Publicly Disclosed. The Hacker News (англ.). Дата обращения: 22 октября 2026.
  16. ↑ Collier, Kevin (21 октября 2026). Critical vulnerabilities in commonly used web code spark rush to update systems. NBC News (англ.). Дата обращения: 21 октября 2026.
  17. ↑ Gerkin, Tom (21 октября 2026). Websites taken down worldwide as critical PHP cyber-security update issued. BBC News. Дата обращения: 21 октября 2026.
  18. ↑ Satter, Raphael; Pardesi, Rajveer; Marchandon, Leo; Satter, Raphael; Marchandon, Leo (21 октября 2026). Government websites go dark as software flaw sparks security scramble. Reuters (англ.). Дата обращения: 21 октября 2026.
  19. ↑ Websites taken down as critical PHP cyber-security update issued (брит. англ.). www.bbc.com (21 октября 2026). Дата обращения: 21 октября 2026.
  20. ↑ Major websites go offline as critical PHP vulnerability triggers security fears (англ.). The Brussels Times. Дата обращения: 21 октября 2026.
  21. ↑ Critical security issue affecting PHP (Press release). National Cyber Security Centre. 20 октября 2026.
  22. ↑ Websites go dark after AI exposes major programming language security flaw. Euronews (англ.). 22 октября 2026. Дата обращения: 22 октября 2026.
  23. ↑ Joint statement on critical PHP vulnerabilities (англ.). ENISA (21 октября 2026). Дата обращения: 22 октября 2026.
  24. ↑ Kan, Michael (21 октября 2026). This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says. PCMAG (англ.). Дата обращения: 21 октября 2026.
  25. ↑ Collier, Kevin (21 октября 2026). Critical vulnerabilities in commonly used web code spark rush to update systems. NBC News (англ.). Дата обращения: 21 октября 2026.
  26. ↑ Impact of PHP vulnerabilities on Wikimedia tools and services. Diff. Wikimedia Foundation. 21 октября 2026. Дата обращения: 21 октября 2026.
  27. ↑ Kan, Michael (21 октября 2026). This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says. PCMAG (англ.). Дата обращения: 21 октября 2026.
  28. ↑ 著名ITサービス相次いで緊急メンテへ　コドモン、シャドバ、BASE、さくらのレンタルサーバなど　「PHP」脆弱性に起因か. ITmedia. 21 октября 2026.
Источник — https://ru.wikipedia.org/w/index.php?title=PHP2Shell&oldid=155790284