PHP2Shell: критическая уязвимость в самом PHP (CVE-2026-109618, CVE-2026-109619)
21 октября PHP выпустил внеплановое обновление: две ошибки в самом интерпретаторе позволяют в некоторых конфигурациях выполнить код на сервере без входа в систему. Оценка 9.2 из 10, публичные эксплойты уже есть.
Кого касается
Любой сайт на PHP ниже 8.2.35, 8.3.36, 8.4.27 или 8.5.12: WordPress, Joomla, Drupal, Laravel и самописные. Для веток 8.1 и старше официальных исправлений нет. Сам WordPress обновлять не нужно, исправление в PHP. Выше всего риск у Apache с mod_php, у PHP-FPM он ниже.
Как проверить у себя
Версию PHP видно в панели хостинга или командой php -v. Снаружи её видно, только если сайт сам отдаёт версию в заголовках X-Powered-By или Server.
Как исправить
Обновите PHP до исправленной версии своей ветки и перезапустите PHP-FPM или Apache. Если сразу не получается, отключите session.upload_progress.enabled: это закрывает один из путей атаки, но не все.
Что проверяет Shield бесплатно
Если версия PHP видна в заголовках и ниже исправленной, Shield покажет критическую находку со ссылками на CVE. Если версия скрыта (это правильно), снаружи её не проверить: Shield напишет, что её надо посмотреть на хостинге.
Важно знать
По сообщениям Amazon и watchTowr, попытки эксплуатации начались ещё до выхода патча. Свои серверы мы обновили 22 октября.
