PHP2Shell: две критические уязвимости в интерпретаторе PHP — как обновить сервер и проверить сайт

21 октября разработчики PHP представили патчи для двух критических уязвимостей — CVE-2026-109618 и CVE-2026-109619, которые получили общее название PHP2Shell. Обе затрагивают непосредственно интерпретатор PHP и при определённых условиях позволяют злоумышленнику выполнить код на сервере без авторизации. Ключевая особенность этих уязвимостей в том, что для атаки не требуется находить ошибку в WordPress, Laravel или другом приложении: проблема лежит уровнем ниже, в самом интерпретаторе. Это означает, что наличие уязвимости не зависит от актуальности CMS или фреймворка — достаточно устаревшей версии PHP, чтобы сервер оказался под угрозой. В сообществе уже подробно разобрали механику эксплуатации, поэтому остановимся на прикладной части — безопасном обновлении работающего сервера.

Подробности

Обе уязвимости классифицированы как критические и затрагивают сам интерпретатор PHP — CVE-2026-109618 и CVE-2026-109619. При определённых условиях они позволяют выполнить произвольный код на сервере без прохождения авторизации. Поскольку уязвимость находится на уровне интерпретатора, она потенциально затрагивает любые веб-приложения на PHP независимо от их типа и версии. Исправления выпущены 21 октября. Достоверно определить, что исправленная версия действительно обслуживает сайт, бывает непросто: на одном сервере может быть установлено несколько версий PHP, и обновление через пакетный менеджер не гарантирует, что веб-сервер переключился на пропатченную ветку.

Что делать

Перед установкой патча необходимо проверить текущее окружение: какие версии PHP установлены, какие из них используются веб-сервером и какие версии обслуживают конкретные сайты. Это особенно важно на серверах с несколькими сайтами и несколькими версиями интерпретатора. Обновить PHP можно двумя основными способами. Первый — через панель управления ispmanager, которая позволяет выбрать нужную версию PHP для каждого сайта. Второй — через пакетный менеджер Linux, установив исправленные пакеты из репозитория дистрибутива. После установки обновлений необходимо убедиться, что исправленная версия действительно обслуживает сайт: проверить активную версию PHP для каждого сайта и убедиться, что веб-сервер перезапущен и использует пропатченный интерпретатор. Не стоит ограничиваться обновлением пакетов — обязательно проверьте, какая версия PHP фактически отвечает на запросы к сайту после всех изменений. Только так можно гарантировать, что уязвимость действительно закрыта. Критические уязвимости в самом интерпретаторе — напоминание о том, что безопасность приложения не ограничивается его кодом: инфраструктурный уровень требует не меньшего внимания. Своевременное обновление PHP и проверка фактически используемых версий — минимально необходимая мера защиты.

Источник: Хабр — Информационная безопасность