Команда PHP 21 жовтня 2026 року випустила екстрені оновлення безпеки для двох вразливостей, що отримали спільну назву PHP2Shell (CVE-2026-109618 та CVE-2026-109619). Обидві дозволяють віддалено виконати код на веб-сервері без входу в систему й без дій користувача. Виправлення увійшли до PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35.
Вразливості знайшли дослідники Wiz, OpenAI та Calif. Помилки містяться в самому рушії PHP: в обробці сесій, у кеші класів OPcache та під час побудови трасування при фатальній помилці. Вони пов'язані з тим, як PHP поводиться за нестачі пам'яті. Обидві оцінено в 9,2 бала за CVSS v4.0. Фірма watchTowr поставила максимальні 10,0.
Уразливими вважаються версії, починаючи з PHP 5.4.0, проте не кожен реліз перевіряли окремо. Оскільки діра в ядрі, під загрозою також магазини на Magento, Shopware і WooCommerce, навіть якщо їхній код написано чисто. Sansec підтвердила віддалене виконання коду без авторизації на Magento 2.4.9 та ще десяти PHP-застосунках. За її даними, публічні описи та інструмент для експлуатації вже доступні.
Атаки почалися до виходу патча. Amazon Threat Intelligence зафіксувала спробу експлуатації 17 жовтня, за чотири дні до розкриття. Cloudflare повідомила про ранні атаки 21 жовтня о 07:43 UTC, а реліз вийшов о 14:00 UTC. Частину ресурсів відключали на час оновлення: зокрема, Phabricator Wikimedia був недоступний.
Наразі неясним залишається перелік вразливих комерційних продуктів. Fortinet перевіряє 12 продуктів, Cisco перевіряє 31 продукт і хмарний сервіс; підтверджених вразливих продуктів поки немає.
Тим, хто має на PHP лендинги, трекери, кабінети партнерських програм або білі сайти, варто перевірити версію PHP на хостингу та в контейнерах і з'ясувати, чи випустив хостер або CMS власні оновлення. Sansec також описує тимчасові заходи для тих, хто не може оновитися одразу; вони наведені в її розборі.
