# PHP2Shell: две критические уязвимости PHP, просочившееся эмбарго и что на самом деле известно об эксплуатации

Published: 2026-10-22

PHP выпустила экстренные исправления для двух критических уязвимостей удаленного выполнения кода, CVE-2026-109618 и CVE-2026-109619, названных PHP2Shell. Выпуск состоялся 21 октября 2026 года. В эпизоде объясняются две ошибки памяти простыми словами, почему подсказка из аудита 2024 года ожидала исправления, как произошла утечка эмбарго и какие источники говорят об эксплуатации. Также рассматривается выпуск критического патча GitLab в тот же день и штраф Meta в размере 25 миллиардов долларов в Нью-Мексико.

Canonical: https://thedailydiff.dev/ru/video/2026-10-22-php2shell/

## Что освещается в этом видео

- Обе уязвимости оценены командой PHP как 9.2 по CVSS v4.0. Исправленные версии: PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12; PHP 7.4, 8.0 и 8.1 получили только патчи исходного кода. PHP заявляет, что обновление является единственным полным способом устранения.
- Первая уязвимость возникает из-за того, что PHP оставляет запрос наполовину сформированным, когда у него заканчивается память в неподходящий момент. Вторая возникает из-за оставшегося указателя на память одного запроса, который может использовать последующий запрос в том же "воркере". На Apache с mod\_php первый путь выполняется до кода приложения.
- Основной разработчик PHP обнаружил первые признаки проблемы с памятью во время аудита 2024 года. Фонд PHP заявляет, что конкурирующие исправления имели компромиссы, и команда безопасности, работающая на основе консенсуса, изо всех сил пыталась выбрать, что они называют структурным сбоем.
- Фонд заявляет, что идентификаторы CVE просочились 20 октября, Calif по ошибке опубликовал видео с подтверждением концепции, а Chainguard опубликовал готовые образы с исправлением более чем за шесть часов до выпуска. Генеральный директор Chainguard заявляет, что люди уже страдали, и что он обнаружил ошибки независимо.
- Источники расходятся во мнениях относительно эксплуатации. Amazon зафиксировал попытку 17 октября и позже заявил, что PHP2Shell широко эксплуатируется. watchTowr сообщил об эксплуатации в "дикой природе". CISA не наблюдала эксплуатации на момент публикации, и команда PHP не обнаружила функционального эксплойта на момент выпуска. Сообщается, что многие общедоступные скрипты с подтверждением концепции не работают.
- Проверьте все места, где работает PHP, включая копии внутри другого программного обеспечения, обновите, перезапустите "воркеры" и просмотрите логи за период с 17 октября.

## Вопросы и ответы

### Что представляют собой две уязвимости PHP2Shell?

PHP2Shell обозначает две критические уязвимости PHP, CVE-2026-109618 и CVE-2026-109619, обе оценены командой PHP как 9.2. Первая оставляет запрос наполовину сформированным, когда у PHP заканчивается память в неподходящий момент, и затем очистка доверяет ему. Вторая оставляет указатель на память одного запроса, который может использовать последующий запрос в том же "воркере". Обе могут привести к выполнению кода без входа в систему.

### Какие версии PHP имеют исправление для PHP2Shell, и что насчет неподдерживаемых версий?

Проект PHP выпустил исправления в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12 21 октября. Для версий 7.4, 8.0 и 8.1 он опубликовал только патчи исходного кода, и BleepingComputer сообщает, что дистрибутивы и поставщики долгосрочной поддержки могут предоставлять бэкпортированные исправления. PHP заявляет, что нет полного обходного пути, поэтому обновление или запрос пропатченного пакета у поставщика - единственный безопасный выбор.

### Почему известная ошибка памяти PHP была исправлена только в октябре 2026 года?

Фонд PHP заявляет, что основной разработчик обнаружил первые признаки проблемы с памятью во время аудита безопасности 2024 года, но путь эксплуатации не был известен, и каждое потенциальное исправление имело компромиссы, такие как нарушения совместимости. Команда безопасности принимает решения консенсусом и изо всех сил пыталась выбрать, что Фонд называет структурным сбоем, вызванным процессом принятия решений и отсутствием ресурсов.

### Эксплуатируется ли PHP2Shell, и насколько легко ее эксплуатировать?

Источники расходятся во мнениях. Amazon зафиксировал попытку эксплуатации 17 октября и позже заявил, что PHP2Shell широко эксплуатировался, а watchTowr сообщил об эксплуатации в "дикой природе". CISA не наблюдала эксплуатации на момент публикации, и команда PHP не видела функционального эксплойта на момент выпуска. watchTowr говорит, что большинство общедоступных скриптов эксплойтов вызывают сбой или ничего не делают, а VulnCheck обнаружил, что выполнение кода работает только в некоторых настройках.

### Каков был вердикт The Daily Diff по PHP2Shell?

Вердикт The Daily Diff был SHIP IT: выпустите обновление PHP сегодня вечером, потому что новая версия - это единственное полное исправление. CISA рекомендует инвентаризировать все системы, работающие на PHP, включая копии внутри другого программного обеспечения, применить патч и отключить системы PHP, если их невозможно обновить. Amazon советует просмотреть логи до 17 октября, когда была зафиксирована первая попытка.

## Главы

- 0:00 Кто попытался использовать PHP2Shell на четыре дня раньше?
- 0:41 Что представляют собой две ошибки PHP2Shell?
- 1:37 Почему известная ошибка ждала два года?
- 1:54 Кто обнаружил PHP2Shell и как?
- 2:20 Как произошла утечка эмбарго PHP2Shell?
- 2:50 Эксплуатируется ли PHP2Shell и кем?
- 3:43 Что правительства отключили?
- 4:11 Какие версии PHP получают исправление?
- 4:30 Что делать с PHP2Shell сегодня вечером?
- 4:45 Что еще сегодня выпустило критический патч RCE?
- 5:01 Почему Meta приказали выплатить 25 миллиардов долларов?
- 5:18 Какова защита Chainguard за раннее исправление?
- 5:38 Что получает печать SHIP IT?

## Переведенная стенограмма

Переведено с оригинального английского повествования. Доступные аудио и субтитры контролируются YouTube.

### Кто попытался использовать PHP2Shell на четыре дня раньше?

0:00 Эмбарго на раскрытие информации о безопасности должно сохранять ошибку в тайне до выпуска патча. Amazon зафиксировал попытку использования критической ошибки PHP на четыре дня раньше. В этом видео, кто ее нашел? Как произошла утечка эмбарго? И насколько это плохо, на самом деле? И у компании, которую обвинили в утечке, есть защита, которую я не ожидал. Я до этого доберусь. Четверг, двадцать второе октября, и это The Daily Diff.

0:21 PHP - это скриптовый язык, который создает веб-страницы на сервере непосредственно перед тем, как они достигают вас. Ему более тридцати лет и, по одной оценке, он работает на семидесяти процентах веб-сайтов, включая WordPress и программное обеспечение за Wikipedia. Разработчики любят над ним смеяться, обычно со страницы, которую PHP им предоставляет. Его поддержкой занимается некоммерческая организация с примерно тринадцатью инженерами.

### Что представляют собой две ошибки PHP2Shell?

0:41 В среду PHP выпустила экстренные исправления для двух критических уязвимостей, которые позволяют постороннему запускать код на сервере без входа в систему. Вместе они называются PHP2Shell, и они восходят к PHP пять точка четыре. Вот первая ошибка простыми словами. PHP выделяет каждому запросу бюджет памяти. Если запрос достигает этого предела в точно неподходящий момент, PHP быстро завершает работу и оставляет запрос наполовину сформированным. Затем шаг очистки доверяет наполовину сформированному объекту.

1:07 Вторая ошибка - это "остаток". Фатальная ошибка может оставить заметку, указывающую на память, которая принадлежала последнему запросу. Тот же "воркер" обрабатывает следующий запрос и следует заметке. К тому времени кто-то другой уже находится по этому адресу. На Apache с mod PHP повреждение происходит до запуска вашего собственного кода, поэтому ваша страница входа никогда не участвует в голосовании. Wiz говорит, что даже скрипт "hello world" уязвим. Исправление убирает аварийный выход PHP при нехватке памяти.

1:32 Вместо того чтобы прерывать запрос посередине, PHP теперь вежливо останавливается в следующей безопасной точке. Странно то, насколько старой является первая зацепка.

### Почему известная ошибка ждала два года?

1:39 В 2024 году внешний аудит безопасности привел основного разработчика PHP к первым признакам проблемы с памятью. Эксплойт не был известен, и каждое исправление что-то ломало. Команда, принимающая решения консенсусом, не смогла выбрать, поэтому ошибка ждала. Затем, в августе, обнаружившие появились в течение нескольких дней.

### Кто обнаружил PHP2Shell и как?

1:56 Исследователь Calif Райан Остин обнаружил ее первого августа, работая по программе OpenAI "Patch the Planet". OpenAI независимо сообщила о той же корневой причине. Wiz обнаружил варианты несколько недель спустя с моделями Gemini и GPT. Остин говорит, что он использовал общедоступные модели, а также теорию о том, где скрываются старые ошибки PHP. OpenAI заявляет, что ключевым был передовой ИИ. Ошибка скрывалась более десяти лет. Выпуск был запланирован на четверг.

### Как произошла утечка эмбарго PHP2Shell?

2:21 Во вторник два номера CVE начали циркулировать в сети, с неправильным временем выпуска и неправильной оценкой в десять баллов. PHP перенесла выпуск на один день раньше. В тот вечер Calif случайно опубликовал видео с демонстрацией своей концепции работы, и копии пережили удаление. В среду утром, более чем за шесть часов до выпуска, Chainguard опубликовал готовые образы, содержащие исправление. PHP заявляет, что любой злоумышленник мог изучить это исправление, пока все остальные ждали.

2:46 Патч - это также "diff", и злоумышленники читают "diffы".

### Эксплуатируется ли PHP2Shell и кем?

2:50 Так кто же на самом деле страдает? "Медовая ловушка" Amazon зафиксировала попытку 17 октября и позже заявила, что PHP2Shell широко эксплуатируется. watchTowr сообщает об эксплуатации в "дикой природе". Cisa заявила, что не наблюдала никаких попыток на момент публикации, и команда PHP не видела никаких работающих эксплойтов на момент выпуска. Генеральный директор Cloudflare заявил, что видел тысячи попыток за десять часов до объявления и миллионы к утру четверга.

3:13 Amazon осторожен в одном пункте. Он не знает, сработали бы ли его ранние попытки на реальной системе. Попытка - это всего лишь стук в дверь. Так насколько это плохо, на самом деле? watchTowr говорит, что большинство общедоступных эксплойтов либо вызывают сбой, либо ничего не делают. VulnCheck говорит, что выполнение кода работает в некоторых настройках, и ни один из общедоступных не преодолевает рандомизацию памяти на стандартных x86 серверах. Исследователь Элиас Тейлор говорит, что это далеко не так просто, как Log4Shell.

3:40 Все равно говорят "патч". Правительства не ждали вердикта.

### Что правительства отключили?

3:44 АНБ сообщило организациям, которые не смогли применить патч, отключить системы PHP, и Национальный центр кибербезопасности Великобритании дал аналогичный совет. Голландские сайты, включая национальную службу цифровой идентификации, ушли в оффлайн, наряду с сайтом полиции Парижа. Wikimedia в качестве меры предосторожности отключила несколько систем. Palo Alto Networks насчитала более двадцати двух миллионов уязвимых экземпляров. И австралийский профессор сделал самый точный вывод. Следует беспокоиться о тех сайтах, которые сегодня не отключены.

### Какие версии PHP получают исправление?

4:11 Исправления существуют для PHP от восьми точка два до восьми точка пять. Для семь точка четыре, восемь точка ноль и восемь точка один, PHP опубликовал только патчи исходного кода. Старые версии ничего не получают от проекта PHP, поэтому обратитесь к своему дистрибутиву. Временные решения уменьшают шансы, но PHP заявляет, что обновление является единственным полным исправлением. Это тот же урок, что и вчерашний эпизод с eMudhra,

### Что делать с PHP2Shell сегодня вечером?

4:32 потому что существование исправления не означает, что оно есть у запущенного процесса. Найдите все PHP в вашем стеке, даже копии, скрывающиеся внутри другого программного обеспечения. Обновите, перезапустите "воркеры" и проверьте логи до семнадцатого октября. В тот же день GitLab выпустил критическое обновление,

### Что еще сегодня выпустило критический патч RCE?

4:47 девятнадцать точка пять точка один. Переполнение целого числа в его компиляторе регулярных выражений позволяет неаутентифицированному пользователю выполнять код на сервере, и оно оценивается в десять из десяти. GitLab.com уже пропатчен. Самостоятельно управляемые установки требуют обновления.

### Почему Meta приказали выплатить 25 миллиардов долларов?

5:01 Тем временем в Нью-Мексико судья приказал Meta выплатить двадцать пять миллиардов долларов штрафов по делу Cambridge Analytica. Жюри насчитало более сорока трех миллионов нарушений по цене до пяти тысяч долларов каждое, что составило около двухсот двадцати миллиардов до того, как судья сократил сумму. Meta заявляет, что выиграет апелляцию. Теперь обещанная защита.

### Какова защита Chainguard за раннее исправление?

5:19 Генеральный директор Chainguard сообщил The Register, что он сам обнаружил те же ошибки в пятницу вечером, узнав, что что-то грядет в PHP, с помощью простого запроса на поиск плохих уязвимостей. Он говорит, что выпустил раньше, потому что люди уже страдали. Если вы предпочитаете читать это, а не слушать, как я это говорю, "дифф" приходит на вашу почту каждое утро, бесплатно на the daily diff dot dev, ссылка ниже. Итак, сегодняшний вердикт - SHIP IT.

### Что получает печать SHIP IT?

5:39 Выпустите обновление PHP сегодня вечером, потому что новый номер версии - единственное полное исправление. И это "дифф" на сегодня. Я Нико из Axrisi. Сливайте ответственно.

## Источники

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News