Що таке PHP2Shell?
PHP2Shell об’єднує CVE-2026-109618 і CVE-2026-109619 - помилки пам’яті самого PHP з CVSS v4.0 9,2. Підтверджено виконання коду без автентифікації та витік пам’яті. Виправлення вийшли 21 жовтня 2026 року. Проблема не обмежена CMS.
Які інсталяції перевіряти?
Оновіть усі Web-інсталяції: FPM, mod_php, php-cgi, FrankenPHP та LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel і власні застосунки успадковують ризик. Врахуйте панелі, пристрої, тестові середовища й контейнери. Оновлення застосунку не замінює PHP.
Чи FPM не зачеплено?
Ні. FPM завершує дочірній процес після невдалого старту запиту, блокуючи деякі початкові послідовності. Прикладні й міжзапитні шляхи залишаються. Демонстрація mod_php не означає однакову експлуатацію всюди, але FPM не скасовує оновлення.
PHP 8.1 і старіші
Звичайних випусків PHP немає. Мінімальні бекпорти 7.4, 8.0 і 8.1 є винятком; збірка й перевірка належать оператору. ОС- або LTS-постачальник може підтримувати пакети. Дослідження від 5.4 з різними умовами. Мігруйте й перевірте тимчасові патчі.
PHP2Shell простими словами
PHP виконує WordPress, Laravel і плагіни. Оновлення плагіна не оновлює PHP. Дві помилки пам’яті можуть перетворити ненормальне очищення запиту на витік або виконання коду. Публічна перевірка дає лише ознаки; справжнє Web-середовище й патч підтверджує адміністратор.
Інструменти PHP2Shell →Докази за середовищем PHP
| Середовище | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | RCE продемонстровано | RCE продемонстровано |
| PHP-FPM | Ризик залежить від застосунку; повний FPM-експлойт для цієї CVE не продемонстровано | RCE продемонстровано через відповідний шлях застосунку |
Оновіть також php-cgi, FrankenPHP і LiteSpeed. PHP радить оновити всі Web-інсталяції. Таблиця відділяє демонстрації від загального ризику.