php2shell: критичні RCE у PHP. Атаки вже почалися.
21 жовтня 2026 року PHP позачергово випустив оновлення для двох критичних вразливостей – CVE-2026-109618 та CVE-2026-109619 (CVSS 9.2).
Факти:
Обидві вразливості дозволяють віддалене виконання коду без автентифікації.
Проблема в ядрі PHP, а не у вебзастосунках.
Під загрозою PHP-FPM, Apache mod_php, php-cgi, FrankenPHP та LiteSpeed.
Найвищий ризик – Apache mod_php, де можлива експлуатація ще до виконання коду застосунку.
Спроби експлуатації зафіксовані ще до виходу патчів.
Через загрозу державні установи Фінляндії та Нідерландів тимчасово відключали публічні сервіси.
Що робити:
Негайно оновити PHP до 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 або перевірити наявність виправлень від постачальника.
Якщо оновлення неможливе – обмежити доступ через VPN/IP-allowlist або тимчасово відключити сервіс.
Перевірити ознаки компрометації: підозрілі multipart/form-data запити, дочірні процеси PHP, вебшели, нові файли, cron-завдання та облікові записи.
За виявлення компрометації – ізолювати систему, зберегти журнали та перевірити можливе викрадення облікових даних.
Важливо: WAF і конфігураційні мітигації не гарантують захисту. Повноцінне рішення – встановлення патча.
І головне: оновити систему недостатньо. Потрібно перевірити, чи не була вона скомпрометована до оновлення.
Автор: Володимир Стиран