# PHP2Shell: дві критичні вразливості PHP, витік ембарго та що насправді відомо про експлуатацію

Published: 2026-10-22

PHP випустила екстрені виправлення для двох критичних вразливостей віддаленого виконання коду, CVE-2026-109618 та CVE-2026-109619, які отримали назву PHP2Shell. Реліз відбувся 21 жовтня 2026 року. У випуску простими словами пояснюються дві помилки пам'яті, чому підказка з аудиту 2024 року чекала на виправлення, як стався витік ембарго та які джерела що говорять про експлуатацію. Він також охоплює критичне оновлення GitLab того ж дня та наказ про стягнення штрафу з Meta на суму 25 мільярдів доларів у Нью-Мексико.

Canonical: https://thedailydiff.dev/uk/video/2026-10-22-php2shell/

## Що охоплює це відео

- Обидві вразливості оцінені командою PHP на 9.2 бали за CVSS v4.0. Виправлені версії: PHP 8.2.35, 8.3.36, 8.4.27 та 8.5.12; PHP 7.4, 8.0 та 8.1 отримали лише виправлення вихідного коду. PHP заявляє, що оновлення є єдиним повним засобом усунення.
- Перша вразливість виникає через те, що PHP залишає запит наполовину побудованим, коли в неправильний момент закінчується пам'ять. Друга виникає через залишковий вказівник на пам'ять одного запиту, який може використовувати пізніший запит у тому ж робочому процесі. На Apache з mod\_php перший шлях виконується перед кодом програми.
- Основний розробник PHP виявив перші ознаки проблеми з пам'яттю під час аудиту 2024 року. Фонд PHP заявляє, що конкуруючі виправлення мали компроміси, а команда безпеки, що базується на консенсусі, боролася з вибором, що вона називає структурною несправністю.
- Фонд заявляє, що ідентифікатори CVE витекли 20 жовтня, Calif помилково опублікував відео з підтвердженням концепції, а Chainguard опублікував зібрані образи з виправленням більш ніж за шість годин до випуску. Генеральний директор Chainguard каже, що людей вже атакували, і він виявив помилки незалежно.
- Джерела розходяться щодо експлуатації. Amazon зареєструвала спробу 17 жовтня і пізніше заявила, що PHP2Shell широко експлуатується. watchTowr повідомила про експлуатацію в дикій природі. CISA не спостерігала експлуатації на момент публікації, а команда PHP не виявила функціонального експлойту на момент випуску. Багато публічних сценаріїв підтвердження концепції, як повідомляється, не працюють.
- Перевірте кожне місце, де працює PHP, включаючи копії всередині іншого програмного забезпечення, оновіть, перезапустіть робочі процеси та перегляньте журнали до 17 жовтня.

## Запитання та відповіді

### Що таке дві вразливості PHP2Shell?

PHP2Shell названі дві критичні вразливості PHP, CVE-2026-109618 та CVE-2026-109619, обидві оцінені командою PHP на 9.2 бали. Перша залишає запит наполовину побудованим, коли PHP в неправильний момент вичерпує пам'ять, і подальше очищення довіряє цьому. Друга залишає вказівник на пам'ять одного запиту, який може використовувати пізніший запит у тому ж робочому процесі. Обидві можуть призвести до виконання коду без входу.

### Які версії PHP мають виправлення для PHP2Shell, і що щодо непідтримуваних версій?

Проект PHP випустив виправлення у версіях 8.2.35, 8.3.36, 8.4.27 та 8.5.12 21 жовтня. Для версій 7.4, 8.0 та 8.1 він опублікував лише патчі вихідного коду, і BleepingComputer повідомляє, що дистрибутиви та постачальники довгострокової підтримки можуть надавати перенесені виправлення. PHP заявляє, що немає повного обхідного шляху, тому оновлення або запит у постачальника пропатченого пакета є єдиним безпечним вибором.

### Чому відома помилка пам'яті PHP чекала до жовтня 2026 року на виправлення?

Фонд PHP заявляє, що основний розробник виявив перші ознаки проблеми з пам'яттю під час аудиту безпеки 2024 року, але не було відомо шляху експлуатації, і кожне кандидатське виправлення мало компроміси, такі як порушення сумісності. Команда безпеки приймає рішення за консенсусом і боролася з вибором, що Фонд називає структурною несправністю, спричиненою її процесом прийняття рішень та нестачею ресурсів.

### Чи експлуатується PHP2Shell, і наскільки легко її експлуатувати?

Джерела розходяться. Amazon зафіксувала спробу експлуатації 17 жовтня і пізніше заявила, що PHP2Shell широко експлуатується, а watchTowr повідомила про експлуатацію в дикій природі. CISA не спостерігала експлуатації на момент публікації, а команда PHP не виявила функціонального експлойту на момент випуску. watchTowr каже, що більшість публічних скриптів експлойтів викликають збої або нічого не роблять, а VulnCheck виявила, що виконання коду працює лише в деяких налаштуваннях.

### Яким був вердикт The Daily Diff щодо PHP2Shell?

Вердикт The Daily Diff був SHIP IT: відправте оновлення PHP сьогодні ввечері, тому що нова версія є єдиним повним виправленням. CISA радить інвентаризувати кожну систему, що працює на PHP, включаючи копії всередині іншого програмного забезпечення, застосувати патч та вимкнути системи PHP, якщо їх неможливо оновити. Amazon радить переглянути журнали до 17 жовтня, коли було зафіксовано першу спробу.

## Розділи

- 0:00 Хто спробував PHP2Shell на чотири дні раніше?
- 0:41 Що таке дві вразливості PHP2Shell?
- 1:37 Чому відома помилка чекала два роки?
- 1:54 Хто знайшов PHP2Shell і як?
- 2:20 Як стався витік ембарго PHP2Shell?
- 2:50 Чи експлуатується PHP2Shell, і ким?
- 3:43 Що уряди вимкнули?
- 4:11 Які версії PHP отримують виправлення?
- 4:30 Що робити з PHP2Shell сьогодні ввечері?
- 4:45 Що ще сьогодні отримало критичний патч RCE?
- 5:01 Чому Meta було наказано заплатити 25 мільярдів доларів?
- 5:18 Який захист Chainguard для раннього виправлення?
- 5:38 Що отримує печатку SHIP IT?

## Перекладена стенограма

Перекладено з оригінальної англійської розповіді. Доступне аудіо та субтитри контролюються YouTube.

### Хто спробував PHP2Shell на чотири дні раніше?

0:00 Ембарго на безпеку має зберігати помилку в таємниці, доки патч не буде випущено. Amazon зафіксувала спробу проти критичної помилки PHP на чотири дні раніше. У цьому відео, хто її знайшов? Як стався витік ембарго? І наскільки це погано, насправді? І компанія, звинувачена у витоку, має захист, якого я не очікував. Я до цього дійду. Четвер, двадцять друге жовтня, і це The Daily Diff.

0:21 PHP — це мова сценаріїв, яка створює веб-сторінки на сервері безпосередньо перед тим, як вони досягають вас. Їй понад тридцять років, і за однією оцінкою, вона працює приблизно на сімдесяти відсотках веб-сайтів, включаючи WordPress та програмне забезпечення за Вікіпедією. Розробники люблять глузувати з неї, зазвичай зі сторінки, яку PHP їм надає. Її підтримкою займається некомерційна організація з приблизно тринадцятьма інженерами.

### Що таке дві вразливості PHP2Shell?

0:41 У середу PHP випустила аварійні виправлення для двох критичних вразливостей, які дозволяють сторонньому користувачеві виконувати код на сервері без входу. Разом вони називаються PHP2Shell, і вони сягають PHP п'ять чотири. Ось перша помилка простими словами. PHP надає кожному запиту бюджет пам'яті. Якщо запит досягає цього ліміту в абсолютно неправильний момент, PHP поспіхом виходить і залишає запит наполовину побудованим. Потім крок очищення довіряє наполовину побудованій речі.

1:07 Друга помилка — це залишок. Фатальна помилка може залишити позначку, що вказує на пам'ять, яка належала останньому запиту. Той самий робочий процес обробляє наступний запит і слідує за позначкою. До того часу хтось інший живе за цією адресою. На Apache з mod PHP пошкодження відбувається до того, як ваш власний код запуститься, тому ваша сторінка входу ніколи не отримує голосу. Wiz каже, що навіть скрипт hello world вразливий. Виправлення усуває аварійний вихід PHP для нестачі пам'яті.

1:32 Замість того, щоб виходити з середини запиту, PHP тепер ввічливо зупиняється в наступній безпечній точці. Дивно те, наскільки старою є перша підказка.

### Чому відома помилка чекала два роки?

1:39 У 2024 році зовнішній аудит безпеки привів основного розробника PHP до перших ознак проблеми з пам'яттю. Експлойтів не було відомо, і кожне виправлення щось ламало. Команда, яка приймає рішення за консенсусом, не змогла вибрати, тому помилка чекала. Потім у серпні, протягом декількох днів, з'явилися винахідники.

### Хто знайшов PHP2Shell і як?

1:56 Дослідник Calif Райан Остін знайшов її першого серпня, працюючи через програму OpenAI Patch the Planet. OpenAI повідомив про ту ж першопричину незалежно. Wiz знайшов варіанти через кілька тижнів за допомогою моделей Gemini та GPT. Остін каже, що він використовував моделі, доступні будь-кому, плюс теорію про те, де ховаються старі помилки PHP. OpenAI каже, що ключовим був передовий ШІ. Помилка ховалася понад десять років. Випуск був запланований на четвер.

### Як стався витік ембарго PHP2Shell?

2:21 У вівторок два номери CVE почали циркулювати в Інтернеті, з неправильним часом випуску та неправильною оцінкою десять. PHP перенесла випуск на день раніше. Того вечора Calif випадково опублікував відео свого підтвердження концепції, що працює, і копії пережили видалення. У середу вранці, більш ніж за шість годин до випуску, Chainguard опублікував зібрані образи, що містять виправлення. PHP каже, що будь-який зловмисник міг вивчити це виправлення, поки всі інші чекали.

2:46 Патч також є дифом, і зловмисники читають дифи.

### Чи експлуатується PHP2Shell, і ким?

2:50 Отже, кого насправді атакують? Медовий горщик Amazon зафіксував спробу сімнадцятого жовтня і пізніше заявив, що PHP2Shell широко експлуатується. watchTowr повідомляє про експлуатацію в дикій природі. Cisa заявила, що не спостерігала жодної на момент публікації, а команда PHP не бачила працюючого експлойту на момент випуску. Генеральний директор Cloudflare сказав, що вони бачили тисячі спроб за десять годин до оголошення, і мільйони до ранку четверга.

3:13 Amazon обережний в одному пункті. Він не знає, чи працювали б його найперші спроби на реальній системі. Спроба — це лише стукіт у двері. Отже, наскільки це погано, насправді? watchTowr каже, що публічні експлойти, що циркулюють, здебільшого викликають збої або нічого не роблять. VulnCheck каже, що виконання коду працює в деяких налаштуваннях, і жоден з публічних не долає рандомізацію пам'яті на стандартних серверах x86. Дослідник Еліас Тейлор каже, що це далеко не так просто, як Log4Shell.

3:40 Всі все ще кажуть: патчіть. Уряди не чекали вердикту.

### Що уряди вимкнули?

3:44 АНБ повідомило організаціям, які не могли встановити патчі, вимкнути системи PHP, і Національний центр кібербезпеки Великобританії надав подібну пораду. Голландські сайти, включаючи національну службу цифрової ідентифікації, вимкнулися, разом з сайтом поліції Парижа. Wikimedia вимкнула кілька систем як запобіжний захід. Palo Alto Networks підрахувала понад двадцять два мільйони вразливих екземплярів. І австралійський професор зробив найгострішу зауваження. Сайти, про які варто хвилюватися, це ті, що сьогодні не вимкнені.

### Які версії PHP отримують виправлення?

4:11 Виправлення існують для PHP від восьми двох до восьми п'яти. Для сім чотири, вісім нуль і вісім один, PHP опублікувала лише вихідні патчі. Старіші версії нічого не отримують від проекту PHP, тому запитайте у вашого дистрибутива. Обхідні шляхи зменшують шанси, але PHP каже, що оновлення є єдиним повним виправленням. Це той самий урок, що й вчорашній епізод eMudhra,

### Що робити з PHP2Shell сьогодні ввечері?

4:32 тому що наявність виправлення не означає, що запущений процес його має. Знайдіть кожен PHP у вашому стеку, навіть копії, що ховаються всередині іншого програмного забезпечення. Оновіть, перезапустіть робочі процеси та перевірте журнали до сімнадцятого жовтня. Того ж дня GitLab випустив критичний патч,

### Що ще сьогодні отримало критичний патч RCE?

4:47 дев'ятнадцять п'ять один. Переповнення цілого числа у його компіляторі регулярних виразів дозволяє неавтентифікованому користувачеві виконувати код на сервері, і він оцінюється на десять з десяти. GitLab.com вже виправлено. Самостійно керовані інсталяції потребують оновлення.

### Чому Meta було наказано заплатити 25 мільярдів доларів?

5:01 Тим часом у Нью-Мексико суддя наказав Meta заплатити двадцять п'ять мільярдів доларів штрафу за Cambridge Analytica. Присяжні нарахували понад сорок три мільйони порушень по п'ять тисяч доларів кожне, що склало близько двохсот двадцяти мільярдів до того, як суддя скоротив його. Meta заявляє, що виграє апеляцію. Тепер обіцяний захист.

### Який захист Chainguard для раннього виправлення?

5:19 Генеральний директор Chainguard розповів The Register, що він сам знайшов ті ж помилки в п'ятницю ввечері, дізнавшись, що щось наближається в PHP, з базовим запитом на пошук поганих вразливостей. Він каже, що випустив патч раніше, тому що люди вже були атаковані. Якщо ви віддаєте перевагу читати це, ніж чути мене, розбіжність надходить на вашу пошту щоранку, безкоштовно на daily diff dot dev, посилання нижче. Отже, сьогоднішній вердикт — SHIP IT.

### Що отримує печатку SHIP IT?

5:39 Відправте оновлення PHP сьогодні ввечері, тому що новий номер версії є єдиним повним виправленням. І це розбіжність на сьогодні. Я Ніко з Axrisi. Зливайте відповідально.

## Джерела

- [Today's PHP Security Release, and How We're Strengthening PHP Security](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) — The PHP Foundation
- [RCE via OOM corruption (GHSA-w8hw-w9fx-j79w)](https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w) — PHP security advisory
- [RCE via stale global state (GHSA-6wmf-4rv5-p3rp)](https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp) — PHP security advisory
- [Upcoming Critical PHP Security Release](https://www.php.net/archive/2026.php) — php.net
- [php2shell](https://calif.io/php2shell/) — Calif
- [PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet](https://www.wiz.io/blog/php2shell-php-rce) — Wiz Research
- [Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) — AWS Security Blog
- [Critical Vulnerabilities in PHP Require Immediate Patching](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) — CISA
- [Flaw in PHP computer language leads to shutdown of websites around world](https://www.theguardian.com/technology/2026/oct/21/flaw-in-php-computer-language-leads-to-shutdown-of-websites-around-world) — The Guardian
- [What is PHP, and how bad is the computer language flaw causing website shutdowns globally?](https://www.theguardian.com/technology/2026/oct/22/what-is-php-computer-language-flaw-causing-global-website-shutdowns) — The Guardian
- [PHP2Shell Exploitation Started Days Before Patches](https://www.securityweek.com/php2shell-exploitation-started-days-before-patches/) — SecurityWeek
- [PHP2Shell: Responding to CVE-2026-109618 and CVE-2026-109619](https://www.tanium.com/blog/php2shell-responding-to-cve-2026-109618-and-cve-2026-109619) — Tanium
- [There isn't an easy exploit for this PHP vulnerability](https://eliastaylor.com/noexploit/) — Elias Taylor
- [PHP blames supply chain security biz Chainguard for putting entire web at risk](https://www.theregister.com/security/2026/10/22/php-blames-supply-chain-security-biz-chainguard-for-putting-entire-web-at-risk/5304611) — The Register
- [PHP2Shell: 22M exposed servers at risk as emergency patches released](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released) — TechTarget
- [PHP ships emergency patches for critical PHP2Shell flaws](https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/) — BleepingComputer
- [GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13](https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-5-1-released/) — GitLab
- [Meta ordered to pay $25 billion penalty in New Mexico Cambridge Analytica case](https://www.cnbc.com/2026/10/21/meta-new-mexico-cambridge-analytica-penalty.html) — CNBC
- [Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming](https://news.ycombinator.com/item?id=50167754) — Hacker News