Розробники PHP 21 жовтня випустили виправлення для двох критичних уразливостей CVE-2026-109618 і CVE-2026-109619, які можуть уможливити віддалене виконання коду без автентифікації. За словами генерального директора Cloudflare Метью Прінса, після публічного розкриття інформації компанія зафіксувала мільйони спроб їх експлуатації.
Коротко про головне
- PHP випустив патчі для двох критичних уразливостей із оцінкою 9,2 за CVSS.
- Cloudflare повідомила про мільйони спроб використання, а не підтверджених зламів.
- Проблема міститься у PHP на сервері, тому одного оновлення CMS недостатньо.
- Захищені релізи доступні для гілок PHP 8.2–8.5.
Два дефекти з оцінкою 9,2 бала
PHP Security Team повідомила про CVE-2026-109618 та CVE-2026-109619 21 жовтня. Обидві уразливості отримали оцінку 9,2 з 10 за системою CVSS v4.0 та за певних умов можуть дозволити зловмиснику виконати код на сервері без попередньої автентифікації.
Технічні причини дефектів різні. CVE-2026-109618 пов’язана з пошкодженням внутрішнього стану під час обробки ситуації нестачі пам’яті, а CVE-2026-109619 — зі збереженням застарілого внутрішнього стану після завершення запиту. Ризик для конкретного ресурсу залежить від версії PHP, конфігурації сервера та наявності встановлених патчів.
За даними W3Techs, PHP застосовують 69,3% сайтів, для яких сервіс зміг визначити серверну мову програмування. Цей показник не є часткою всіх сайтів у мережі й не визначає кількість потенційно вразливих ресурсів.
Як зросла активність атакувальників
За словами Метью Прінса, ще до офіційного розкриття Cloudflare бачила тисячі підозрілих запитів. Після публікації технічної інформації кількість спроб використання вразливостей сягнула десятків тисяч за перші 45 хвилин, сотень тисяч за дві години, а згодом — мільйонів.
Ці дані описують спроби використання, які зафіксувала інфраструктура Cloudflare, а не кількість успішно скомпрометованих серверів. У перевірених на час публікації повідомленнях не було даних про масовий підтверджений витік, безпосередньо пов’язаний із цими двома CVE.
Cloudflare заявила, що приблизно за дев’ять годин до публічного розкриття активувала WAF-захист для клієнтів, які користуються її вебзастосунковим фаєрволом. Такі правила можуть зменшити ризик, але не замінюють оновлення PHP.
Запобіжні обмеження сервісів і роль ШІ
У Японії окремі інтернет-сервіси фінансової групи Mitsubishi UFJ, брокерської компанії Nomura, авіакомпанії ANA та залізничного оператора East Japan Railway тимчасово обмежували роботу. Це були запобіжні заходи на час перевірки та оновлення систем, а не повідомлення про компрометацію цих сервісів.
ENISA, Єврокомісія, CERT-EU, Europol EC3 та мережа CSIRT закликали організації невідкладно перевірити системи й встановити виправлення. Якщо оновлення неможливе негайно, вони радять розглянути ізоляцію публічно доступних застосунків.
Інцидент також привернув увагу роллю штучного інтелекту в дослідженні безпеки. OpenAI заявила, що компанія Calif виявила один критичний дефект за допомогою моделі GPT-5.6 Sol у межах ініціативи Patch the Planet, а Wiz повідомила про незалежне виявлення обох уразливостей із використанням інструментів аналізу на основі ШІ.
Що мають перевірити адміністратори сайтів
Вразливості відомі під неофіційною назвою php2shell і містяться в серверному середовищі PHP. Тому оновлення WordPress, Drupal, Joomla, тем або плагінів саме по собі не усуває проблему: необхідно перевірити версію PHP та статус патчу на сервері або уточнити це у хостинг-провайдера.
PHP випустив захищені версії 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Для застарілих гілок 7.4, 8.0 та 8.1 команда безпеки також підготувала мінімальні source-backport-и; це не є повноцінними новими релізами, тому варто перевірити пакети свого дистрибутива чи довгострокової підтримки.
Після встановлення виправлення слід переконатися, що вебсерверний процес або PHP-FPM перезапущений і використовує оновлений пакет. Тимчасове обмеження зовнішнього доступу та WAF-правила можуть бути проміжним захистом, однак повністю закриває ці уразливості саме оновлення PHP.
