PHP предупреждает о новой неисправленной RCE-уязвимости спустя два дня после экстренных патчей PHP2Shell

Проект PHP предупредил о новом векторе атаки, позволяющем злоумышленнику выполнять код на веб-сервере, всего через два дня после того, как были выпущены экстренные исправления для критических уязвимостей PHP2Shell. Инцидент демонстрирует, насколько плотно проблемы безопасности концентрируются вокруг одного продукта: не успели администраторы установить срочные обновления, как появилась информация о следующей бреши.

Подробности

Новой уязвимости присвоен идентификатор CVE-2026-115560. По информации проекта, она затрагивает исключительно веб-приложения, сконфигурированные необычным, нетипичным образом. Именно поэтому в PHP оценивают риск как маловероятный: для эксплуатации требуется стечение специфических условий конфигурации, которые в реальных продуктивных средах встречаются редко. Исходя из этой оценки, команда PHP не планирует выпускать экстренное исправление для CVE-2026-115560. Вместо этого разработчикам рекомендуется отключить определённую функцию, задействование которой открывает возможность выполнения кода. Таким образом, основной линией защиты остаётся не патч, а корректировка конфигурации и отказ от потенциально опасной функциональности. Ситуация усугубляется тем, что новость появилась на фоне только что закрытых критических уязвимостей PHP2Shell, для которых экстренные исправления уже выпущены. Администраторам, которые ещё не успели применить эти обновления, следует сделать это в приоритетном порядке, поскольку сочетание непатченных PHP2Shell-брешей с новой CVE-2026-115560 расширяет поверхность атаки.

Что делать

В первую очередь убедитесь, что экстренные исправления для уязвимостей PHP2Shell установлены на всех серверах, где используется PHP. Проверьте актуальность версии интерпретатора и журналы изменений проекта. Далее проанализируйте конфигурацию веб-приложений: CVE-2026-115560 проявляется только при нестандартных настройках. Если ваша среда подпадает под описанные условия, отключите функцию, о которой предупреждает проект PHP, — это рекомендованный способ нейтрализации угрозы до появления официального патча. Зафиксируйте изменения в конфигурации и проверьте, что отключение не нарушает работу приложений. Также стоит ограничить доступ к административным интерфейсам и сетевым сервисам, использовать принцип минимальных привилегий и следить за официальными анонсами проекта PHP — информация о CVE-2026-115560 может обновляться. Итог: новая уязвимость оценивается как маловероятная и не требует экстренного патча, однако отключение опасной функции и своевременная установка исправлений PHP2Shell остаются обязательными мерами защиты.

Источник: The Hacker News