Что такое PHP2Shell?
PHP2Shell объединяет CVE-2026-109618 и CVE-2026-109619 - ошибки памяти самого PHP с CVSS v4.0 9,2. Подтверждены выполнение кода без аутентификации и утечка памяти. Исправления вышли 21 октября 2026 года. Проблема не ограничена отдельной CMS.
Что проверять?
Обновите все Web-установки: FPM, mod_php, php-cgi, FrankenPHP и LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel и собственные приложения используют уязвимый интерпретатор. Учитывайте панели, устройства, тестовые среды и контейнеры. Обновление приложения PHP не заменяет.
FPM не затронут?
Нет. FPM завершает дочерний процесс при неудачном старте запроса, блокируя некоторые стартовые последовательности. Прикладные и межзапросные пути остаются. Демонстрация mod_php не означает одинаковые условия повсюду; FPM также не отменяет обновление.
PHP 8.1 и старше
Обычных выпусков проекта нет. Минимальные исходные бэкпорты 7.4, 8.0 и 8.1 - исключение; сборка и проверка лежат на операторе. ОС- и LTS-поставщик может поддерживать пакет. Исследования охватывают версии от 5.4 при разных условиях. Мигрируйте и подтверждайте временные патчи.
PHP2Shell простыми словами
PHP выполняет WordPress, Laravel и плагины. Обновление плагина не обновляет PHP. Две ошибки памяти могут превратить неправильную очистку запроса в утечку или выполнение кода. Публичная проверка даёт лишь признаки; действующую Web-среду и патч подтверждает администратор.
Инструменты PHP2Shell →Доказательства по средам PHP
| Среда | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE продемонстрирован | RCE продемонстрирован |
| PHP-FPM | Зависит от приложения; полный FPM-эксплойт для этой CVE не продемонстрирован | RCE продемонстрирован через подходящий путь приложения |
Обновите также php-cgi, FrankenPHP и LiteSpeed. PHP рекомендует обновить все Web-установки. Таблица отделяет демонстрации от общей подверженности.