Разработчики PHP объявили внеплановое обновление безопасности, которое должно закрыть сразу две критические уязвимости. Релиз призначили на 21 жовтня 2026 року, 17:00 за київським часом. Обе проблемы получили оценку 9,2 балла из 10 по шкале CVSS 4.0, и, по словам исследователей, они позволяют злоумышленнику удалённо выполнить собственный код на сервере.
Самое неприятное в этой истории то, что исправления получат только ветки 8.2, 8.3, 8.4 и 8.5. Для PHP 8.1, 8.0, всех версий 7.x и 5.x официального патча не будет, поэтому владельцам таких серверов придётся действовать самостоятельно.
Кого касается угроза
Проекты с повышенным риском
Под удар потенциально попадает всё, что работает на PHP, но две категории стоит проверить в первую очередь. Это самописные сайты и проекты на собственных фреймворках, а также панели управления хостингом вроде cPanel, Plesk или DirectAdmin вместе с самописными биллингами и панелями хостинг‑провайдеров.
Сайты на WordPress
WordPress тоже работает на PHP, поэтому владельцам таких сайтов стоит знать свою версию интерпретатора. Её можно посмотреть в панели хостинга или прямо в админке: раздел «Инструменты» → «Здоровье сайту» → «Информация» → «Сервер».
Что сейчас известно о php2shell
Название и номера CVE
Название php2shell уязвимостям дали исследователи из компании watchTowr. Они же используют для них идентификаторы CVE-2026-109618 и CVE-2026-109619, хотя в официальном объявлении PHP этих номеров нет.
Что разработчики ещё не раскрыли
Точный перечень уязвимых версий, компонент PHP, в котором находится проблема, и условия атаки (нужна ли авторизация, имеет ли значение специфическая конфигурация сервера) PHP пообещали описать вместе с релизом. Временного обходного решения до выхода патча разработчики не предложили.
Есть ли уже атаки
По состоянию на 21 жовтня ни попыток эксплуатации, ни публичного эксплойта никто не зафиксировал. Об этом сообщали watchTowr в своих ответах на частые вопросы по поводу php2shell, а также компания Huntress.
Тем не менее расслабляться не стоит. Когда в июне 2024 года опубликовали предыдущую серьёзную уязвимость PHP, CVE-2024-4577, компания Akamai заметила первые попытки атак на свои honeypot‑серверы уже в течение суток.
Как информация вышла наружу раньше срока
Анонимная запись и подтверждение исследователей
Изначально детали планировали опубликовать 22 октября. Однако 20 октября анонимный пользователь форума Hacker News написал о двух уязвимостях в PHP с максимальной оценкой 10 из 10, которые якобы затрагивают все версии начиная с PHP 5, хотя никаких доказательств не привёл. В тот же день watchTowr подтвердили, что уязвимости реальны и находятся под эмбарго, то есть под соглашением не разглашать подробности до появления исправления. Вечером PHP выпустили объявление и сдвинули релиз на сутки раньше.
Что из этого не подтверждено
Утверждение, что уязвимы абсолютно все версии от PHP 5, официально никто не подтвердил. watchTowr отдельно отмечают, что ни один вендор этот диапазон не верифицировал, а оценка 10 из 10 происходит исключительно из того самого анонимного сообщения.
Масштаб проблемы: сколько серверов останутся без патча
Данные Mallory
Компания Mallory подсчитала, что 20 октября примерно 884 тысячи серверов в интернете отображали в ответах PHP версию 8.1 или старше. Это около 59% из почти 1,5 миллиона серверов, которые вообще показывают номер версии PHP. Ещё 740 тысяч машин сообщают, что работают на PHP, но версию скрывают.
Ограничения этой оценки
Данные собрали с помощью Shodan — поисковой системы для устройств, подключённых к сети. Поэтому по этим цифрам невозможно понять, сколько серверов действительно уязвимы, ведь речь идёт только о версиях, которые серверы сами о себе сообщают.
План действий для администраторов и владельцев сайтов
Рекомендации ниже основаны на советах компаний Huntress и CERT-EU — команды реагирования на киберинциденты для учреждений Европейского Союза.
Инвентаризация
Первый шаг — найти все места, где в вашей инфраструктуре работает PHP. Сюда входят не только сайты, но и панели управления хостингом типа cPanel и Plesk, а также готовое серверное ПО, которое использует PHP внутри.
Обновление после релиза
После 17:00 за Киевом 21 жовтня PHP следует обновить до версии с исправлением, и начинать стоит с серверов, доступных из интернета. Если сайт размещён на хостинге, уточните у провайдера, когда он установит патч. Имейте в виду, что в пакетах дистрибутивов Linux исправление может выйти под другим номером версии, чем в официальном релизе PHP.
Что делать со старыми версиями
Серверы на PHP 8.1 и ниже нужно переводить на 8.2 или более новую ветку. Если быстро сделать это невозможно, такие машины стоит убрать из публичного доступа, например закрыть через VPN или поставить перед ними веб‑фаервол (WAF).
Мониторинг подозрительной активности
Стоит отслеживать, не запускают ли процессы PHP-FPM, PHP-CGI или веб‑сервера Apache командную оболочку, интерпретаторы или утилиты для загрузки файлов. Такое поведение для обычного сайта нетипично и может свидетельствовать о попытке эксплуатации.
Если есть признаки взлома
В случае обнаружения чего‑то подозрительного сервер нужно отключить от сети и сохранить логи веб‑сервера и PHP. Дальше следует искать веб‑шеллы (файлы, через которые злоумышленник удалённо управляет сайтом), новые файлы в корневой папке сайта, новые задания в планировщике и учётные записи, которых ранее не было.
