У PHP виявили дві критичні вразливості з оцінкою 9,2 за CVSS, які потенційно дозволяють віддалено виконувати код на сервері без авторизації. Причому під загрозою можуть опинитися навіть сайти, на яких взагалі немає функціональності завантаження файлів.

Вразливості отримали назву PHP2Shell. Їх пов’язують із механізмом `session.upload_progress` та помилками роботи з пам’яттю під час обробки HTTP-запитів. Проблема потенційно зачіпає WordPress, Laravel, Drupal та інші PHP-застосунки.

Як працює атака, які версії PHP можуть бути вразливими та що рекомендують зробити для захисту серверів — [читайте на форумі DOU](https://dou.ua/goto/sdb9).