Команда PHP 21 октября 2026 года выпустила экстренные обновления безопасности для двух уязвимостей, получивших общее название PHP2Shell (CVE-2026-109618 и CVE-2026-109619). Обе позволяют выполнить код на веб-сервере удалённо, без входа в систему и без действий пользователя. Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Уязвимости нашли исследователи Wiz, OpenAI и Calif. Ошибки сидят в самом движке PHP: в обработке сессий, кеше классов OPcache и построении трассировки при фатальной ошибке. Они связаны с тем, как PHP ведёт себя при нехватке памяти. Обе оценены в 9,2 балла по CVSS v4.0. Фирма watchTowr поставила максимальные 10,0.
Затронутыми считаются версии начиная с PHP 5.4.0, но не каждый релиз проверяли отдельно. Поскольку дыра в ядре, уязвимы и магазины на Magento, Shopware и WooCommerce, даже если их код написан чисто. Sansec подтвердила удалённое выполнение кода без авторизации на Magento 2.4.9 и ещё десяти PHP-приложениях. Публичные описания и эксплойт-инструмент, по её данным, уже доступны.
Атаки начались до выхода патча. Amazon Threat Intelligence зафиксировала попытку эксплуатации 17 октября, за четыре дня до раскрытия. Cloudflare сообщила о ранних атаках 21 октября в 07:43 UTC, а релиз вышел в 14:00 UTC. Часть ресурсов отключали на время патча: Phabricator Wikimedia, например, был недоступен.
Что остаётся неясным: список уязвимых коммерческих продуктов. Fortinet проверяет 12 продуктов, Cisco проверяет 31 продукт и облачный сервис, подтверждённых уязвимых пока нет.
Тем, у кого на PHP живут лендинги, трекеры, кабинеты партнёрок или белые сайты, стоит проверить версию PHP на хостинге и в контейнерах и посмотреть, выпустил ли хостер или CMS собственные обновления. Sansec также описывает временные меры для тех, кто не может обновиться сразу, они указаны в её разборе.
