Czym jest PHP2Shell?
PHP2Shell obejmuje CVE-2026-109618 i CVE-2026-109619, błędy pamięci PHP ocenione na CVSS v4.0 9,2. Pokazano wykonanie kodu bez uwierzytelnienia i ujawnienie pamięci. Poprawki opublikowano 21 października 2026 r. Dotyczy interpretera, nie tylko CMS.
Jakie instalacje sprawdzić?
Aktualizuj wszystkie instalacje Web: FPM, mod_php, php-cgi, FrankenPHP i LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel i własne aplikacje dziedziczą ryzyko. Uwzględnij panele, urządzenia, testy i kontenery. Aktualizacja aplikacji nie zastępuje PHP.
Czy FPM jest wyłączony?
Nie. FPM kończy proces potomny po nieudanym starcie żądania, blokując część sekwencji. Ścieżki aplikacyjne i między żądaniami pozostają. Demonstracja mod_php nie oznacza identycznej eksploatacji wszędzie, lecz FPM nie zwalnia z aktualizacji.
Backporty dystrybucji
Ubuntu, Debian i Linux firmowy mogą zachować stary numer z poprawioną rewizją. Baner 8.3.6 sam niczego nie dowodzi. Porównaj OS, repozytorium, architekturę i rewizję z OBIEMA CVE. Nie wymyślamy granic wersji pakietów.
PHP 8.1 i starsze
Brak zwykłych wydań PHP. Minimalne backporty kodu 7.4, 8.0 i 8.1 są wyjątkiem; kompilacja i walidacja należą do operatora. OS lub LTS może utrzymywać pakiety. Badania od 5.4, zależnie od ścieżki. Migruj i sprawdź poprawki przejściowe.
Środki tymczasowe są niepełne
Tylko pełna poprawka obejmuje warianty. Ustawienia mogą pogorszyć wysyłanie, wydajność i dostępność. Stosuj administracyjnie przed parsowaniem i restartuj wszystkie procesy. Czytaj oba komunikaty. CDN i WAF nie dowodzą naprawy PHP.
Poprawka nie wyklucza włamania
Porównanie wersji nie wykryje wcześniejszej eksploatacji. Zachowaj logi i obrazy, zbadaj awarie, pliki, procesy i połączenia. Brak błędów nie dowodzi bezpieczeństwa. Przy podejrzeniu izoluj i po opanowaniu incydentu zmień ujawnione sekrety z zaufanej maszyny.
Metoda oceny
Ręczne porównanie obejmuje pełne stabilne wersje czterech opublikowanych gałęzi. Pakiety dostawcy wymagają dowodów dla obu CVE; nieznane kompilacje pozostają nieznane. Publiczna kontrola zbiera wersje i wskazówki, nie dowody wykorzystania. Ukryte nagłówki, CDN lub jedna poprawiona replika nie potwierdzają bezpieczeństwa wszystkich środowisk. Daty oznaczają przegląd redakcyjny.
Czy darmowy skaner potwierdzi włamanie?
Nie ostatecznie. Nagłówki i wzorce dają wskazówki bez całego środowiska, historii i wycieków pamięci. Spisz zasoby, zabezpiecz i koreluj. Przy obcych kontach, procesach lub wyciekach izoluj i kontaktuj hosting albo zespół incydentowy.
Próba czy udane włamanie? →