PHP2Shell уязвимость: CISA добавила CVE-2026-109618 и CVE-2026-109619 в каталог KEV
26 октября 2026 года CISA добавила две уязвимости PHP, известные как PHP2Shell, в каталог Known Exploited Vulnerabilities после подтверждения атак в реальных условиях.
26 октября 2026 года агентство CISA внесло две критические уязвимости PHP в каталог Known Exploited Vulnerabilities. CVE-2026-109618 и CVE-2026-109619, объединённые под названием PHP2Shell, позволяют удалённое выполнение кода без аутентификации.
Обе уязвимости получили оценку CVSS 9.2. Наибольший риск возникает на серверах с Apache mod_php, но проблемы затрагивают также PHP-FPM и php-cgi. Уязвимости связаны с обработкой памяти и устаревшим состоянием внутренних запросов в ядре PHP.
Подробности эксплуатации и исправления
Добавление в каталог KEV произошло после подтверждения реальных атак. Исследователь Adel Karimi из Perplexity зафиксировал 35 успешных запусков шеллов 24 октября 2026 года на серверах PHP 8.4.26 с Apache mod_php. Ранее сканирование отмечали Cloudflare и Amazon.
Компания PHP выпустила исправления 21 октября 2026 года. Уязвимости закрыты в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Поддержка PHP 8.1 и более ранних версий прекращена. Федеральным органам США предписано устранить уязвимости до 29 октября 2026 года согласно BOD 26-04.
CISA рекомендует провести инвентаризацию PHP-систем, установить обновления в первую очередь на интернет-доступных серверах и отслеживать подозрительную активность процессов PHP. При невозможности обновления следует отключить системы от сети.
Реакция в России и дальнейшие действия
НКЦКИ под управлением ФСБ направил директивы через ГосСОПКА около 22 октября 2026 года. Операторам критической инфраструктуры предписано срочно обновить PHP или временно отключить уязвимые системы. По оценке Bi.Zone, под угрозой находилось около 50 000 российских веб-приложений. Некоторые сайты были временно выведены из сети.
PHP используется примерно на 70 % сайтов с известным серверным языком, причём доля в российском сегменте выше по данным W3Techs. Организациям следует применить патчи, перезапустить процессы PHP и провести криминалистическую проверку недавно доступных систем. CISA продолжает отслеживать устранение уязвимостей из каталога KEV.
Частые вопросы
Что такое PHP2Shell?
PHP2Shell — общее название двух уязвимостей CVE-2026-109618 и CVE-2026-109619 в ядре PHP, позволяющих удалённое выполнение кода. CISA подтвердила их активную эксплуатацию и добавила в каталог KEV 26 октября 2026 года.
Какие версии PHP исправлены?
Исправления выпущены 21 октября 2026 года для версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35. PHP 8.1 и более ранние версии больше не поддерживаются.
Когда федеральные агентства США должны устранить уязвимости?
Согласно BOD 26-04, устранение требуется до 29 октября 2026 года. Записи в KEV обязывают провести криминалистический анализ.
Какова ситуация в России?
НКЦКИ направил директивы через ГосСОПКА 22 октября 2026 года. Операторам критической инфраструктуры рекомендовано обновить PHP или отключить уязвимые системы. По оценкам, под угрозой находилось около 50 000 российских приложений.
Комментарии
Комментариев пока нет. Будьте первым!