PHP2Shell: две критические уязвимости в PHP, миллионы атак
CVE-2026-109618 и CVE-2026-109619 дают захват сервера на PHP с версии 5.4. Патчи вышли 21 октября, атаки начались сразу.
21 октября PHP выпустил экстренные версии, закрывающие две уязвимости, которые уже получили имя PHP2Shell. Обе оценены в 9.2 из 10 и позволяют выполнить код на сервере без авторизации. Затронуты все версии начиная с 5.4, то есть практически каждый PHP-сайт в интернете.
Релиз сдвинули на день: информация об уязвимостях появилась в открытом доступе 20 октября, раньше согласованного срока. В утечке фигурировала оценка 10.0, PHP официально поставил 9.2. Для админа разница несущественна.
Уже к 22 октября watchTowr и другие фиксировали попытки эксплуатации в дикой природе, счёт шёл на миллионы запросов. 23 октября появилось предупреждение о третьей уязвимости, CVE-2026-115560, в механизме отслеживания загрузки файлов через сессии. Исправления к ней пока нет.
Важная деталь, которую пропускают: обновлять нужно интерпретатор, а не сайт. Хостинг с «автообновлением WordPress» вас не спасёт, если PHP на нём старый.
Источник: The Hacker News