PHP2Shell: срочное обновление PHP закрывает две критические дыры

21 октября в 14:00 UTC команда PHP выпустила внеплановые версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они закрывают две уязвимости в самом интерпретаторе: CVE-2026-109618 (повреждение памяти при её нехватке) и CVE-2026-109619 (состояние запроса, которое переживает сам запрос внутри воркера). Обе оценены в 9,2 из 10 по CVSS v4, обе позволяют запросу без авторизации выполнить код на сервере с правами веб-воркера. В отрасли связку назвали PHP2Shell. Команда предупредила о выпуске накануне, 20 октября, и оставила за собой право выпустить исправление раньше, если детали утекут, — по данным Sophos и Huntress, так и случилось.

Для тех, кто делает сайты, главное: дыра не в WordPress, не в плагине и не в теме, а в PHP. Обновления WordPress не помогут, страдает любой сайт на PHP — WordPress, Laravel, Drupal, Magento. Под ударом все способы запуска: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed; самым рискованным команда PHP называет mod_php — для него показан эксплойт, который срабатывает ещё до запуска кода приложения. Patchstack утром 21 октября сообщал о подтверждённых случаях эксплуатации; сама команда PHP о атаках в реальной среде не пишет.

Что делать: обновить PHP на хостинге — в панели или через поддержку — и проверить версию в разделе «Здоровье сайта». PHP 8.1 и старше проект уже не поддерживает: для них есть только патчи к исходникам 7.4, 8.0 и 8.1 на GitHub и бэкпорты дистрибутивов Linux, которым исправления передали заранее. Если обновиться сразу нельзя, команда предлагает временные меры: session.upload_progress.enabled=0 в php.ini или настройках пула (не через ini_set() и не в .user.ini), memory_limit=-1, небольшой post_max_size, а на PHP 8.5 ещё fatal_error_backtraces=0 — и подчёркивает, что они снижают риск, но не делают установку безопасной.

Чего пока нет: масштаба атак и списка пострадавших. Пользователям репозитория remi команда советует перейти на пакеты дистрибутива или собрать PHP из исходников: обновлений там в день выпуска не будет. PHP 8.2 перестанет получать исправления 31 декабря 2026 года, так что сайты на нём стоит переводить на 8.3 или новее.

Источник: PHP.net, бюллетень безопасности