CERT-UA інформує про 2 критичні вразливості PHP: CVE-2026-109618 та CVE-2026-109619, відомі під назвою «PHP2Shell», які дають можливість здійснити неавтентифіковане віддалене виконання коду (RCE). У мережі вже наявні публічні інструменти експлуатації та зафіксовано спроби масового сканування й атак.

Вразливості містяться у C-коді інтерпретатора PHP (зокрема у модулях обробки запитів та управління пам'яттю) незалежно від конфігурації веб-сервера. Загрозі присвоєно критичний рівень небезпеки CVSS v4.0 – 9.2 (за оцінками незалежних дослідників – до 10.0). 

 Вразливими є всі версії PHP, починаючи з 5.4.0 і закінчуючи 8.5.11.
 Офіційні виправлені версії: PHP 8.2.35, 8.3.36, 8.4.27 та 8.5.12.
 Застарілі версії (PHP 5.x, 7.x, 8.0, 8.1) досягли завершення життєвого циклу (EOL) і вже не отримають офіційних оновлень від PHP Foundation.

Більше деталей, можливі наслідки та рекомендації з протидії та реагування [на нашому сайті](https://cip.gov.ua/ua/news/u-php-viyavleno-kritichni-vrazlivosti-yikh-vzhe-vikoristovuyut-kiberzlovmisniki-po-vsomu-svitu)