Що таке PHP2Shell?
PHP2Shell об’єднує CVE-2026-109618 і CVE-2026-109619 - помилки пам’яті самого PHP з CVSS v4.0 9,2. Підтверджено виконання коду без автентифікації та витік пам’яті. Виправлення вийшли 21 жовтня 2026 року. Проблема не обмежена CMS.
Які інсталяції перевіряти?
Оновіть усі Web-інсталяції: FPM, mod_php, php-cgi, FrankenPHP та LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel і власні застосунки успадковують ризик. Врахуйте панелі, пристрої, тестові середовища й контейнери. Оновлення застосунку не замінює PHP.
Чи FPM не зачеплено?
Ні. FPM завершує дочірній процес після невдалого старту запиту, блокуючи деякі початкові послідовності. Прикладні й міжзапитні шляхи залишаються. Демонстрація mod_php не означає однакову експлуатацію всюди, але FPM не скасовує оновлення.
Бекпорти дистрибутивів
Ubuntu, Debian і корпоративний Linux можуть зберігати старий номер із виправленою ревізією. Банер 8.3.6 нічого сам не доводить. Зіставте ОС, репозиторій, архітектуру й ревізію з ОБОМА CVE. Ми не вигадуємо межі пакетів.
PHP 8.1 і старіші
Звичайних випусків PHP немає. Мінімальні бекпорти 7.4, 8.0 і 8.1 є винятком; збірка й перевірка належать оператору. ОС- або LTS-постачальник може підтримувати пакети. Дослідження від 5.4 з різними умовами. Мігруйте й перевірте тимчасові патчі.
Тимчасові заходи неповні
Лише повний патч охоплює варіанти. Налаштування можуть впливати на завантаження, швидкодію й доступність. Застосовуйте адміністративно до розбору та перезапускайте всі worker. Читайте обидва повідомлення. CDN і WAF не доводять виправлення.
Патч не виключає злам
Порівняння не виявляє минулу експлуатацію. Збережіть журнали й образи, дослідіть збої, файли, процеси та вихідні з’єднання. Відсутність помилок не доводить безпеки. При підозрі ізолюйте й після локалізації змініть розкриті секрети з довіреної машини.
Метод оцінки
Ручна перевірка порівнює повні стабільні версії чотирьох опублікованих гілок. Пакетам постачальника потрібні докази щодо обох CVE; невідомі збірки лишаються невідомими. Публічна перевірка збирає версії й ознаки, а не докази експлуатації. Приховані заголовки, CDN чи одна оновлена репліка не підтверджують безпеки всіх середовищ. Дати позначають редакційну перевірку.
Безкоштовний сканер доведе злам?
Не остаточно. Заголовки й шаблони дають ознаки без повного середовища, втраченої історії та витоків пам’яті. Інвентаризуйте, збережіть і зіставте. За чужих акаунтів, процесів або витоків ізолюйте та залучіть хостера чи команду реагування.
Спроба чи успішний злам? →