PHP2Shell: критична вразливість у самому PHP (CVE-2026-109618, CVE-2026-109619)
21 жовтня PHP випустив позапланове оновлення: дві помилки в самому інтерпретаторі дають змогу в деяких конфігураціях виконати код на сервері без входу в систему. Оцінка 9.2 з 10, публічні експлойти вже є.
Кого стосується
Будь-який сайт на PHP нижче 8.2.35, 8.3.36, 8.4.27 або 8.5.12: WordPress, Joomla, Drupal, Laravel і самописні. Для гілок 8.1 і старших офіційних виправлень немає. Сам WordPress оновлювати не потрібно, виправлення в PHP. Найвищий ризик в Apache з mod_php, у PHP-FPM він нижчий.
Як перевірити в себе
Версію PHP видно в панелі хостингу або командою php -v. Зовні її видно, лише якщо сайт сам віддає версію в заголовках X-Powered-By або Server.
Як виправити
Оновіть PHP до виправленої версії своєї гілки та перезапустіть PHP-FPM або Apache. Якщо одразу не виходить, вимкніть session.upload_progress.enabled: це закриває один зі шляхів атаки, але не всі.
Що перевіряє Shield безкоштовно
Якщо версія PHP видна в заголовках і нижча за виправлену, Shield покаже критичну знахідку з посиланнями на CVE. Якщо версію приховано (так і правильно), зовні її не перевірити: Shield напише, що її треба подивитися на хостингу.
Важливо знати
За повідомленнями Amazon і watchTowr, спроби експлуатації почалися ще до виходу патча. Свої сервери ми оновили 22 жовтня.
