НЕЗАЛЕЖНІ ІНСТРУМЕНТИ БЕЗПЕКИ PHP
Чітка відповідь починається з правильної версії. Перевірте поріг виправлення PHP2Shell і знайдіть наступний крок для свого середовища.
Приватно: введені дані залишаються в цьому браузері.
PHP - найкраща мова у світі
01 / ПЕРЕВІРКА ВЕРСІЇ
Вставте версію PHP, вивід php -v або одну версію в рядку. Це порівняння версій, а не тест експлуатації.
PHP2SHELL / FRAMEWORK / CMS
Усуньте PHP2Shell на сайті, у блозі чи магазині: визначте робочий PHP, перевірте сумісність, усуньте перешкоди оновленню й підтвердьте виправлення CVE-2026-109618 та CVE-2026-109619.
PHP2SHELL / Інструменти PHP2Shell
Перевіряйте публічні сайти, локальні налаштування й журнали або знаходьте відкриті інструменти. Кожен результат пояснює докази та межі.
Перевіряйте публічні сайти, локальні налаштування й журнали або знаходьте відкриті інструменти. Кожен результат пояснює докази та межі.
01PHP виконує WordPress, Laravel і плагіни. Оновлення плагіна не оновлює PHP. Дві помилки пам’яті можуть перетворити ненормальне очищення запиту на витік або виконання коду. Публічна перевірка дає лише ознаки; справжнє Web-середовище й патч підтверджує адміністратор.
02Дивний multipart або WAF-подія може бути спробою. OOM, SIGSEGV/SIGABRT і сплески HTTP 500 мають і звичайні причини. Неочікувані дочірні PHP-процеси, з’єднання, файли й облікові записи потребують розслідування. Витік пам’яті може не лишати webshell чи файлів; чисте сканування не виключає його.
03Запишіть час, домен, інстанс, середовище, симптоми й останній довірений стан. Експортуйте оригінальні логи з поясами, хмарний аудит і доступні дозволені знімки. Обмежте копії та запишіть хеші. Не надсилайте Cookie, токени й дані клієнтів публічним сканерам. Не очищайте журнали й файли до збереження.
04Дослідження пояснюють помилки між запитами. CVE-2026-109618 демонструє mod_php RCE; вразливість FPM випливає з коду без повного FPM-експлойта цього CVE. CVE-2026-109619 окремо підтверджує залежний від застосунку FPM upload-progress-шлях. Докази для кожної SAPI читайте у відповідній GHSA.
05Cloudflare поєднує запит і відповідь origin, блокуючи підозрілі відповіді до можливого витоку. Корисно й без shell. Історичне розгортання не гарантує вашого покриття: перевірте правила, маршрут, винятки та події. Прямий origin і вузли без проксі також потребують патча.
02 / ОСНОВА ВИПРАВЛЕННЯ
Опубліковано командою безпеки PHP 21 жовтня 2026 року. Порівнюйте в межах своєї гілки.
PHP.net ↗
| Гілка PHP | Вихідні версії нижче | Перша виправлена версія | Кінець оновлень безпеки |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 груд. 2029 р. |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 груд. 2028 р. |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 груд. 2027 р. |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 груд. 2026 р. |
Звичайних випусків PHP для цих гілок немає. Мінімальні бекпорти коду доступні для 7.4, 8.0 і 8.1. Підтримку постачальника перевіряйте окремо. Читати посібник ↗
03 / ВІД ПЕРЕВІРКИ ДО ВИПРАВЛЕННЯ
Знайдіть усі інтерпретатори PHP, джерела пакетів і обробники сайтів.
Встановіть виправлену збірку або документований бекпорт.
Замініть активні процеси та перевірте кожен екземпляр.
Визначте php*-common і пакет Web-handler.
Читати посібникРозрізняйте пакети ОС, потоки застосунків і сторонні джерела.
Читати посібникПерезапуск того самого контейнера не встановлює патч.
Читати посібникPHP панелі може бути окремим від системного.
Читати посібникОновлення WordPress, Drupal чи Joomla не змінює PHP.
Читати посібникPHP2SHELL / CVE
PHP2Shell - помилки безпеки пам’яті в самому PHP. Оновлений застосунок може працювати на невиправленому інтерпретаторі.
CVE-2026-109618 стосується раннього виходу при OOM із частково ініціалізованою пам’яттю, використаною при очищенні. Патч додає м’яку й жорстку обробку пам’яті. Повний RCE підтверджено на mod_php. FPM вважається вразливим до прикладних шляхів, без повного експлойта цієї CVE.
Читати посібник ↗CVE-2026-109619 залишає посилання на звільнену пам’ять запиту. Наступний запит тому самому worker може використати їх до ініціалізації. Підтверджені шляхи fatal backtrace PHP 8.5 і прогресу завантаження сесії. RCE перевірено для mod_php та відповідного прикладного шляху FPM.
Читати посібник ↗Ні. FPM завершує дочірній процес після невдалого старту запиту, блокуючи деякі початкові послідовності. Прикладні й міжзапитні шляхи залишаються. Демонстрація mod_php не означає однакову експлуатацію всюди, але FPM не скасовує оновлення.
Ubuntu, Debian і корпоративний Linux можуть зберігати старий номер із виправленою ревізією. Банер 8.3.6 нічого сам не доводить. Зіставте ОС, репозиторій, архітектуру й ревізію з ОБОМА CVE. Ми не вигадуємо межі пакетів.
Звичайних випусків PHP немає. Мінімальні бекпорти 7.4, 8.0 і 8.1 є винятком; збірка й перевірка належать оператору. ОС- або LTS-постачальник може підтримувати пакети. Дослідження від 5.4 з різними умовами. Мігруйте й перевірте тимчасові патчі.
Лише повний патч охоплює варіанти. Налаштування можуть впливати на завантаження, швидкодію й доступність. Застосовуйте адміністративно до розбору та перезапускайте всі worker. Читайте обидва повідомлення. CDN і WAF не доводять виправлення.
Почніть із версії. Спирайтеся на докази. Перевірте процеси, що фактично обслуговують сайт.