Что такое PHP2Shell?
PHP2Shell объединяет CVE-2026-109618 и CVE-2026-109619 - ошибки памяти самого PHP с CVSS v4.0 9,2. Подтверждены выполнение кода без аутентификации и утечка памяти. Исправления вышли 21 октября 2026 года. Проблема не ограничена отдельной CMS.
Что проверять?
Обновите все Web-установки: FPM, mod_php, php-cgi, FrankenPHP и LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel и собственные приложения используют уязвимый интерпретатор. Учитывайте панели, устройства, тестовые среды и контейнеры. Обновление приложения PHP не заменяет.
FPM не затронут?
Нет. FPM завершает дочерний процесс при неудачном старте запроса, блокируя некоторые стартовые последовательности. Прикладные и межзапросные пути остаются. Демонстрация mod_php не означает одинаковые условия повсюду; FPM также не отменяет обновление.
Бэкпорты дистрибутивов
Ubuntu, Debian и корпоративный Linux могут оставить старый исходный номер с новой ревизией. Баннер 8.3.6 ничего сам по себе не доказывает. Сопоставьте ОС, репозиторий, архитектуру и установленный пакет с ОБЕИМИ CVE. Пороговые ревизии здесь не выдумываются.
PHP 8.1 и старше
Обычных выпусков проекта нет. Минимальные исходные бэкпорты 7.4, 8.0 и 8.1 - исключение; сборка и проверка лежат на операторе. ОС- и LTS-поставщик может поддерживать пакет. Исследования охватывают версии от 5.4 при разных условиях. Мигрируйте и подтверждайте временные патчи.
Временные меры неполны
Только полный патч закрывает варианты. Настройки могут повлиять на загрузки, производительность и доступность. Применяйте административно до разбора запроса и перезапускайте все worker. Читайте оба уведомления. CDN и WAF не доказывают исправление PHP.
Патч не исключает взлом
Проверка версий не обнаружит прошлую эксплуатацию. Сохраните журналы и образы, исследуйте сбои, файлы, процессы и исходящие соединения. Отсутствие ошибок не доказывает безопасность. При подозрении изолируйте и после локализации смените раскрытые секреты из доверенной среды.
Метод оценки
Ручная проверка сравнивает полные стабильные версии четырёх опубликованных веток. Сборкам поставщика нужны доказательства для обоих CVE; неизвестные сборки остаются неизвестными. Публичная проверка собирает версии и признаки, не доказательства эксплуатации. Скрытые заголовки, CDN или одна обновлённая реплика не подтверждают безопасность всех сред. Даты обозначают редакционную проверку.
Бесплатный сканер докажет взлом?
Не окончательно. Заголовки и шаблоны дают признаки без полной среды, утраченной истории и утечек памяти. Учтите системы, сохраните и сопоставьте данные. При чужих аккаунтах, процессах и утечках изолируйте узел и подключите хостера или команду реагирования.
Попытка атаки или успешный взлом? →