Критические дыры в PHP. Уязвимости угрожают 70% сайтов интернета

Опубликовано: 22 октября 2026

Вчера, 21 октября 2026 года, вышло экстренное обновление PHP, закрывающее две критические уязвимости с общей оценкой опасности 9,2 из 10 по шкале CVSS. Проблемы получили неофициальное название «PHP2Shell»: обе позволяют злоумышленнику без аутентификации выполнить произвольный код на сервере. Ситуацию усугубляет то, что технические детали частично утекли в сеть до выхода патчей, спровоцировав волну автоматизированных сканирований. В ответ национальные агентства по кибербезопасности ЕС, Великобритании, Австралии, Японии и Швейцарии выпустили экстренные предупреждения, а некоторые государственные ресурсы были превентивно отключены от сети.

Обе уязвимости коренятся в механизмах управления памятью и обработки ошибок движка PHP. CVE-2026-109618 связана с некорректной обработкой исчерпания памяти: при достижении лимита PHP может оставить частично инициализированные данные, которые позже воспринимаются как валидные. CVE-2026-109619 вызвана сохранением устаревшего состояния — фатальная ошибка оставляет указатели на память предыдущего запроса, и следующий запрос в том же рабочем процессе использует освобожденную память (use-after-free). Особенно опасна конфигурация Apache с mod_php: по данным исследователей, эксплуатация может запуститься еще до выполнения кода самого приложения, что делает защиту на уровне веб-приложения бесполезной.

Исправления уже доступны в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Ветки 8.1, 8.0 и 7.4 больше не поддерживаются — для них опубликованы только исходные коды патчей, и пользователям рекомендуется мигрировать на актуальные версии. Если обновление невозможно, временными мерами служат установка memory_limit=-1 для первой уязвимости и отключение директивы session.upload_progress.enabled для второй, однако полноценной заменой патчу они не являются. Учитывая, что на PHP работает до 70% сайтов интернета, включая WordPress, Drupal и Joomla, администраторам стоит установить обновления в ближайшие часы.