PHP готує екстрене оновлення через дві критичні вразливості з оцінкою 9,2 CVSS

Команда PHP анонсувала позаплановий security-реліз для двох критичних вразливостей, яким присвоїли оцінку 9,2 за шкалою CVSS 4.0. Патчі мають вийти 21 жовтня о 14:00 UTC, а користувачам рекомендують підготуватися до оновлення одразу після публікації виправлень.

Технічні подробиці PHP поки не розкриває. В офіційному повідомленні зазначено лише, що йдеться про дві критичні проблеми безпеки, а повний список уразливих та виправлених версій з’явиться разом із релізом. Команда також залишила за собою можливість випустити патч раніше, якщо деталі вразливостей стануть публічними або з’являться ознаки їх активної експлуатації.

Інформація про вразливості витекла до офіційного анонсу

Позаплановому повідомленню PHP передував витік інформації про дві вразливості, які дослідники вже почали називати php2shell. У публічних обговореннях фігурують ідентифікатори CVE-2026-109618 та CVE-2026-109619.

Компанія watchTowr підтвердила, що інформація про дві проблеми відповідає даним, які перебували під ембарго. За її даними, обидві вразливості потенційно дозволяють віддалене виконання коду на сервері. Водночас PHP поки офіційно не підтвердив ані CVE-ідентифікатори, ані механізм атаки.

У витоку також стверджувалося, що проблеми можуть зачіпати всі версії PHP, починаючи з PHP 5. Однак watchTowr окремо наголошує, що ця інформація ще не підтверджена виробником. Невідомо також, чи потрібна для атаки певна конфігурація сервера, конкретний режим запуску PHP або додаткові умови.

Патчі отримають лише підтримувані гілки PHP

Наразі офіційно підтримуються чотири гілки PHP: 8.2, 8.3, 8.4 та 8.5. Версії 8.2 і 8.3 перебувають у режимі security-only, тоді як 8.4 та 8.5 отримують повну підтримку. Саме ці гілки можуть отримати виправлення в сьогоднішньому релізі.

Старіші PHP 8.1, 8.0, 7.x і 5.x уже завершили життєвий цикл. Якщо після розкриття деталей підтвердиться, що нові вразливості зачіпають і їх, офіційних патчів для цих версій не буде. Власникам таких систем доведеться переходити на підтримувану гілку або ізолювати сервери від зовнішнього доступу.

Проблема може бути масштабною. За оцінкою компанії Mallory, приблизно 884 тис. доступних з інтернету хостів, які повідомляють свою версію PHP у HTTP-заголовках, використовують PHP 8.1 або старіше. Це близько 59% із приблизно 1,5 млн серверів, для яких Shodan зміг визначити конкретну версію. Ще близько 740 тис. хостів повідомляють про використання PHP, але не розкривають номер версії. Ці дані не означають, що всі такі сервери вразливі, але показують масштаб потенційно застарілої інфраструктури.

Ознак масової експлуатації поки немає

Станом на 21 жовтня watchTowr не зафіксувала підтверджених випадків експлуатації CVE-2026-109618 або CVE-2026-109619. Обидві вразливості також поки відсутні в каталозі Known Exploited Vulnerabilities агентства CISA.

Huntress також повідомила, що не бачила експлуатації проблем у середовищах своїх клієнтів і не має інформації про публічно доступний proof-of-concept. Це, однак, може швидко змінитися після появи технічних деталей. Для порівняння, після публікації CVE-2024-4577 у PHP у 2024 році атаки на honeypot-системи Akamai почали фіксувати менш ніж за добу.

Що варто зробити адміністраторам

До виходу офіційного патча підтвердженого workaround для php2shell немає. Основна рекомендація — інвентаризувати всі PHP-інсталяції та бути готовими оперативно встановити нові версії після публікації оновлень. Особливу увагу варто приділити системам, доступним безпосередньо з інтернету.

Для застарілих гілок PHP доцільно вже зараз планувати міграцію на підтримувану версію. Якщо швидке оновлення неможливе, CERT-EU рекомендує розглянути тимчасову ізоляцію зовнішніх PHP-застосунків від публічної мережі до появи виправлення.

Адміністраторам також радять контролювати дочірні процеси, які запускають php-fpm, php-cgi, Apache або інші вебсервери. Неочікуваний запуск shell, інтерпретатора, утиліти завантаження файлів або створення нових cron-завдань може бути ознакою компрометації.

Повні технічні деталі, точний список уразливих версій і номери виправлених релізів PHP має опублікувати разом із security-релізом. До цього моменту частину інформації про php2shell варто вважати попередньою.

Нагадаємо, уразливість Click2Shell у WordPress дає змогу виконувати PHP-код на сервері.