В PHP нашли две критические уязвимости с риском удалённого взлома сервера

Разработчики PHP выпустили патчи для двух критических уязвимостей. Ошибки позволяют без входа в систему выполнить код на сервере или прочитать его память. Cloudflare и watchTowr (ИБ-платформа, специализирующаяся на непрерывном управлении внешними поверхностями атаки) сообщили о попытках атак.

Уязвимости CVE-2026-109618 и CVE-2026-109619 называют PHP2Shell. Каждую оценили в 9,2 балла по CVSS 4.0. Ошибки находятся в ядре PHP. По данным Wiz, затронутые механизмы появились ещё в PHP 5.4. Компания проверила атаки на WordPress, Drupal и Joomla. W3Techs оценивает долю PHP в 69,3% сайтов с известным серверным языком. Она может не совпадать с процентом уязвимых ресурсов: риск зависит от версии и настроек.

Первая ошибка возникает при нехватке памяти. PHP прерывает работу до полной подготовки данных, а затем обращается к ним. Подтверждена атака через Apache mod_php до запуска кода сайта. Анализ указывает на риск для PHP-FPM, но полный сценарий атаки на него не подтверждён. Вторая ошибка оставляет ссылки на освобождённую память между запросами одного процесса. Пути атаки связаны с отслеживанием загрузки файлов session.upload_progress и цепочками вызовов при фатальных ошибках в PHP 8.5. Wiz также показала чтение памяти с возможной утечкой паролей, токенов, ключей API и сертификатов.

Признаки одной из проблем нашли в 2024 году. Организация PHP Foundation признала задержку системным сбоем. В августе 2026 года возможность использования уязвимостей подтвердили исследователи. Над ошибками работали Calif, OpenAI и Wiz. Последняя нашла проблему, проверила Drupal и WordPress, после чего передала отчёт 24 августа. Начало работы PHP над общим патчем компания датирует 21 сентября. В исследовании использовались Atlas, Gemini 4 Argon и GPT-5.6 Sol.

WAF снижает риск до выхода или установки патча, но не устраняет ошибки. Cloudflare включила правила в 03:02 UTC 21 октября, в том числе на бесплатном тарифе. Компания заметила попытки обхода защиты. Настройки PHP тоже лишь частично обеспечивают безопасность. Агентство ЕС по кибербезопасности ENISA и британский ИБ-центр NCSC советуют отключать публичный доступ при невозможности быстро обновиться.

Отключения в селях безопасности затронули сайты госресурсов Германии, Франции, Бельгии, Нидерландов и Финляндии, больниц, школ, порта Роттердама и футбольного союза KNVB. Wikimedia ограничила работу части систем. GrapheneOS временно закрыла форум, хотя саму операционную систему ограничение не затронуло. Во всех случаях отключения веб-ресурсов стали защитной мерой, а не подтверждением факта взлома. На момент написания материала общее число успешно взломанных серверов неизвестно.