Czym jest PHP2Shell?
PHP2Shell obejmuje CVE-2026-109618 i CVE-2026-109619, błędy pamięci PHP ocenione na CVSS v4.0 9,2. Pokazano wykonanie kodu bez uwierzytelnienia i ujawnienie pamięci. Poprawki opublikowano 21 października 2026 r. Dotyczy interpretera, nie tylko CMS.
Jakie instalacje sprawdzić?
Aktualizuj wszystkie instalacje Web: FPM, mod_php, php-cgi, FrankenPHP i LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel i własne aplikacje dziedziczą ryzyko. Uwzględnij panele, urządzenia, testy i kontenery. Aktualizacja aplikacji nie zastępuje PHP.
Czy FPM jest wyłączony?
Nie. FPM kończy proces potomny po nieudanym starcie żądania, blokując część sekwencji. Ścieżki aplikacyjne i między żądaniami pozostają. Demonstracja mod_php nie oznacza identycznej eksploatacji wszędzie, lecz FPM nie zwalnia z aktualizacji.
PHP 8.1 i starsze
Brak zwykłych wydań PHP. Minimalne backporty kodu 7.4, 8.0 i 8.1 są wyjątkiem; kompilacja i walidacja należą do operatora. OS lub LTS może utrzymywać pakiety. Badania od 5.4, zależnie od ścieżki. Migruj i sprawdź poprawki przejściowe.
PHP2Shell prostym językiem
PHP to silnik WordPressa, Laravela i wtyczek. Aktualizacja wtyczki nie aktualizuje PHP. Dwa błędy pamięci mogą zmienić nieprawidłowe sprzątanie żądania w wyciek lub wykonanie kodu. Publiczny test daje wskazówki; administrator musi potwierdzić środowisko Web i poprawkę.
Narzędzia PHP2Shell →Dowody według środowiska PHP
| Środowisko | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE wykazane | RCE wykazane |
| PHP-FPM | Ryzyko zależne od aplikacji; brak demonstracji pełnego exploita FPM dla tej CVE | RCE wykazane przez odpowiednią ścieżkę aplikacji |
Zaktualizuj także php-cgi, FrankenPHP i LiteSpeed. PHP zaleca aktualizację wszystkich instalacji Web. Tabela rozróżnia demonstracje i ogólne narażenie.