RUENЗагрузить файл
Новости · Безопасность файлов

PHP2Shell: до выхода патча утекли данные о двух критических RCE в PHP

В сеть до координированного раскрытия утекли технические подробности двух уязвимостей удалённого выполнения кода в самом интерпретаторе PHP — CVE-2026-109618 и CVE-2026-109619, получивших атаку CVSS v4.0 9.2. Затронуты поддерживаемые ветки PHP 5–8, экстренный патч выходит сегодня, 21 октября 2026, в 17:00 по Москве — на день раньше изначально согласованного срока. Исследователи ожидают массовую эксплуатацию уже в первые минуты после релиза фикса.

21 октября 2026 Редакция LoadFile Чтение 6 мин
Расколотый замок на фоне серверных стоек и бинарного кода — символ критической RCE-уязвимости PHP2Shell

Коротко: за сутки до официального раскрытия в сеть попали данные о двух критических уязвимостях удалённого выполнения кода (RCE) в самом PHP — связке под неформальным названием PHP2Shell. CVE-2026-109618 и CVE-2026-109619 получили оценку 9.2 из 10 по CVSS v4.0 и затрагивают версии PHP с 5 по 8. Команда безопасности PHP перенесла выпуск патча на более ранний срок — 21 октября 2026, 17:00 МСК — именно из-за утечки. Публичного эксплойта пока нет, но исследователи watchTowr уже воспроизвели одну из уязвимостей, а аналитики Sansec предупреждают: массовое сканирование и атаки могут начаться в течение 15 минут после выхода фикса, как это обычно бывает с громкими PHP-уязвимостями.

Содержание
  1. Что случилось: утечка до раскрытия
  2. Что известно технически
  3. При чём тут файлы: кого это касается в первую очередь
  4. Что делать прямо сейчас
  5. Источники

Что случилось: утечка до раскрытия

Разработчики PHP обычно координируют выход патчей безопасности с исследователями, которые нашли проблему: дата релиза согласовывается заранее, а технические детали держатся в секрете до самого патча — так у администраторов есть время подготовиться, а у атакующих не остаётся форы. 20 октября 2026 этот порядок нарушился: подробности CVE-2026-109618 и CVE-2026-109619 начали циркулировать в открытом доступе раньше запланированного эмбарго.

Команда безопасности PHP отреагировала немедленно и сдвинула дату выпуска исправлений с изначально согласованного срока на 21 октября 2026, 14:00 UTC (17:00 МСК) — то есть патч выйдет уже сегодня, днём ранее первоначального плана, специально чтобы сократить окно, в течение которого утёкшие данные остаются без защиты.

Что известно технически

Официальных root-cause-описаний разработчики PHP пока не публиковали — это стандартная практика до выхода патча, чтобы не облегчать жизнь атакующим. Из того, что просочилось и подтверждено независимыми исследователями:

  • CVE-2026-109618 — по данным одного из отчётов, связана с ошибкой использования освобождённой памяти (use-after-free); специалисты watchTowr заявили, что смогли воспроизвести уязвимость самостоятельно.
  • CVE-2026-109619 — вторая уязвимость в той же связке, также оценённая в 9.2 балла по CVSS v4.0; подробный вектор атаки на момент публикации не раскрыт.
  • Обе проблемы затрагивают только поддерживаемые на данный момент ветки PHP — то есть патч получат актуальные релизы линий 8.x (и, по части данных, более старые ветки 5–7, если они числятся в зоне ответственности сопровождающих дистрибутивов).
!
Статус эксплуатации

Ни Huntress, ни watchTowr на момент публикации не фиксировали атак «в дикой природе». Но поскольку детали уже в открытом доступе, а патч выходит сегодня, разрыв между релизом фикса и появлением рабочих эксплойтов может оказаться минимальным — аналитики Sansec прямо называют ориентир «первые 15 минут».

При чём тут файлы: кого это касается в первую очередь

PHP — один из самых массовых языков на стороне сервера, и значительная часть сайтов, которые сами принимают файлы от пользователей (формы загрузки аватаров, документов, фото, вложений к заявкам, расширения для CMS с функцией импорта/экспорта), построена именно на PHP. Удалённое выполнение кода в самом интерпретаторе означает, что уязвимость потенциально затрагивает не конкретный плагин или библиотеку обработки файлов, а исполняющую среду целиком — то есть под ударом может оказаться любой сценарий, где сервер на PHP обрабатывает входящие данные, включая загрузку файлов через веб-форму.

Отдельный риск — для сайтов на популярных PHP-движках (WordPress и его экосистема, другие CMS), где функции приёма файлов часто реализованы сторонними плагинами: если уязвимость подтвердится как эксплуатируемая через типовые HTTP-запросы с файловой нагрузкой, появление автоматизированных сканеров — вопрос времени. Пока авторы защитного тулкита для экстренного блокирования multipart POST-запросов на уровне Apache (ещё до того, как они дойдут до PHP) уже опубликовали временный митигейт в открытом доступе — им стоит воспользоваться тем, кто не может обновиться мгновенно.

Что делать прямо сейчас

  1. Обновите PHP сразу после выхода патча — 21 октября, 17:00 МСК. Если ваш хостинг или дистрибутив обновляет PHP автоматически, проверьте версию интерпретатора после обновления вручную.
  2. Если мгновенное обновление невозможно — временно ограничьте или заблокируйте multipart POST-запросы на уровне веб-сервера (Apache/nginx) к публичным формам загрузки файлов, пока патч не применён.
  3. Проверьте сторонние плагины и CMS-расширения, которые принимают файлы от пользователей, — именно такие точки входа обычно становятся первыми целями после публикации подробностей RCE в PHP.
  4. Следите за официальными бюллетенями php.net и своего дистрибутива/хостинг-провайдера — после выхода патча там появятся точные номера исправленных версий.

На обычную работу с файлами сама уязвимость не влияет — она не портит и не блокирует документы, а создаёт риск захвата сервера при приёме вредоносного запроса. Если вы администрируете сайт на WordPress, похожая история с RCE через обработку загружаемых изображений уже случалась: подробности — в заметке про RCE WordPress через PNG и Imagick. А базовые принципы защиты серверов и форм загрузки от вредоносных файлов собраны в разделе безопасность файлов.

Источники

Читайте также