--- title: PHP2Shell url: https://ftrlg.com/ru/wiki/php2shell/ lang: ru published: 2026-10-26 version: 1 summary: Две критические уязвимости в PHP, найденные с помощью ИИ: исправления вышли 21.10.2026, но раскрытие сорвали утечки, а атаки начались ещё до выпуска. cite_as: "future.log, «PHP2Shell», https://ftrlg.com/ru/wiki/php2shell/" license: CC BY 4.0 https://creativecommons.org/licenses/by/4.0/ --- # PHP2Shell **PHP2Shell** (англ. *PHP2Shell*) — общее название двух критических уязвимостей в интерпретаторе PHP, CVE-2026-109618 и CVE-2026-109619, исправленных 21 октября 2026 года. Через них при определённых условиях можно было выполнить код на сервере без входа в систему; затронуты установки PHP, которые обслуживают веб-запросы, а выше всего риск у Apache с модулем mod_php. Обе получили 9,2 балла по шкале CVSS 4.0. PHP работает на 69,2% сайтов, у которых известен язык серверной части.[^1][^2][^19] Первые признаки одной из ошибок, по словам PHP Foundation, нашли ещё в 2024 году, но исправление застряло. В 2026-м уязвимости независимо друг от друга нашли с помощью ИИ компания Calif по программе [OpenAI](https://ftrlg.com/ru/models/openai/) Patch the Planet, сама OpenAI и Wiz. Скоординированный выпуск исправлений сорвали утечки, а первая попытка атаки, по данным Amazon, случилась за четыре дня до раскрытия. Подтверждённых взломов к 25 октября нет; из служб, оставшихся уязвимыми, большинство работает на версиях PHP, для которых официального исправления нет.[^1][^7][^10][^18] ## История - **2024** Первый за много лет внешний аудит безопасности PHP проводит Quarkslab; деньги на него PHP Foundation получила от Sovereign Tech Agency. Исправляя одну из находок, разработчик PHP видит первые признаки проблемы с нехваткой памяти, которая позже станет CVE-2026-109618. Исправление месяцами буксует.[^1] - **22.06.2026** OpenAI объявляет программу Patch the Planet: вместе с компанией Trail of Bits помогать мейнтейнерам открытого кода находить и исправлять уязвимости.[^5] - **11.08.2026** Calif, проверявшая PHP по Patch the Planet с 30 июля, сообщает команде безопасности PHP о первой уязвимости. С этого дня исправление — главная задача команды PHP Foundation. Независимо о той же причине сообщила OpenAI, а 18 сентября — о новых путях атаки.[^1][^3] - **24.08.2026** Wiz сообщает в PHP о своих находках. Первую она нашла 19 августа с помощью своего инструмента Wiz Atlas и моделей Gemini 4 Argon и GPT-5.6 Sol, а выполнение кода без входа подтвердила на Drupal и WordPress.[^4] - **20.10.2026** Номера CVE утекают в сеть за два дня до намеченного выпуска; Calif по ошибке публикует видео с работающим эксплойтом. Выпуск переносят на сутки раньше.[^1] - **21.10.2026** PHP выпускает версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для 8.1, 8.0 и 7.4 команда публикует только минимальные исправления в исходном коде; официальных версий для них нет.[^1][^2] - **23.10.2026** PHP сообщает о третьей уязвимости того же рода, CVE-2026-115560: она затрагивает и обновлённые версии, но только при необычной настройке, поэтому исправление выйдет в обычном порядке.[^2] ## Данные **Кто остался без исправления.** Censys ежедневно считает доступные из интернета службы с PHP по версиям, которые они сообщают о себе. Единица — служба, а не сервер или сайт: у разных компаний счётчики расходятся в десятки раз, сравнивать можно только строки одной таблицы. Версию сообщают не все: на 25 октября у 56,9 млн из 99,6 млн найденных служб с PHP она неизвестна, и это число за неделю выросло с 16 млн, потому что Censys стала находить больше служб. Поэтому цифры таблицы — нижняя граница.[^18] | День | Поддерживаемые версии, без обновления | Версии без официального исправления (8.1 и более ранние) | Обновлены | |---|---|---|---| | 21.10.2026 | 17,0 млн | 23,3 млн | 0,4 млн | | 22.10.2026 | 13,4 млн | 23,3 млн | 4,9 млн | | 23.10.2026 | 9,7 млн | 23,3 млн | 9,2 млн | | 24.10.2026 | 9,0 млн | 23,5 млн | 10,1 млн | | 25.10.2026, 07:15 UTC | 9,0 млн | 23,5 млн | 10,3 млн | 22 и 23 октября число обновлённых служб росло больше чем на 4 млн в сутки, 24 октября — меньше чем на 1 млн. Самая частая версия среди всех — 7.4.33, из ветки без официального исправления: 6,7 млн служб. Censys относит к уязвимым без исправления все старые ветки, но около 3,1 млн из 23,5 млн — версии старше 5.4, а Wiz пишет, что уязвимы версии начиная с 5.4.[^4][^18] > **[ВЫВОД РЕДАКЦИИ]** Обновление идёт быстро там, где есть кому обновлять, и почти сразу останавливается: к утру 25 октября без исправления оставались около 9 млн служб на поддерживаемых версиях и около 20 млн — на старых уязвимых, для которых его нет вовсе. Число последних за эти дни не уменьшилось. ## Инциденты ### Утечки перед выпуском, октябрь 2026 Выпуск был назначен на 22 октября, 14:00 UTC. 20 октября около 15:00 номера CVE появились на форумах и в соцсетях — с неверным временем выпуска и неверной оценкой 10,0. Технических деталей в утечке не было. PHP в 19:30 опубликовал предварительное объявление и перенёс выпуск на сутки раньше: дистрибутивы ещё собирали пакеты, и выпускать сразу значило оставить многих без простого способа обновиться.[^1] После утечки и предварительного объявления Calif по ошибке опубликовала видео, где её эксплойт работал против нескольких целей. Видео удалили, но копии разошлись по соцсетям; по словам PHP Foundation, оно ускорило появление пробных эксплойтов. Советы по защите, которые PHP около 23:00 начал рассылать нескольким операторам критической инфраструктуры, по словам фонда, тоже могли утечь.[^1] По данным фонда, 21 октября в 07:41 — больше чем за шесть часов до выпуска — Chainguard выложила собранные образы с исправлением. По словам фонда, Chainguard «в одностороннем порядке нарушила эмбарго», и любой атакующий мог изучить исправление, пока остальные пользователи PHP его ждали. Глава Chainguard Дэн Лоренц объяснил решение тем, что эксплойты уже появились в сети.[^1][^6][^20] ### Атаки до и после раскрытия, октябрь 2026 По данным Amazon, первая попытка эксплуатации пришла на её сеть ловушек MadPot 17 октября — за четыре дня до раскрытия — с адреса коммерческой сети анонимизации. Утром 21 октября, ещё до выпуска, попыток стало больше и шли они с разных адресов. Удалась бы хоть одна на настоящем сервере, Amazon не знает.[^7] Cloudflare включила защиту по умолчанию для клиентов с бесплатным и платным файрволом веб-приложений в 03:02 21 октября, до раскрытия. По словам её гендиректора Мэтью Принса, за 10 часов до раскрытия компания увидела тысячи попыток атаки, за 45 минут после — десятки тысяч, за два часа — сотни тысяч, а затем счёт пошёл на миллионы.[^8][^9] Среди атакующих — ботнет: Sophos перехватила попытку установить Potassium, по её оценке вариант Mirai.[^15] Подтверждённых взломов нет. CISA не видела успешной эксплуатации на момент публикации своего предупреждения. Sophos 22 октября сообщила об одном успешном взломе, но в тот же вечер исправила: доказательств успешной компрометации нет. SOCRadar нашла на сервере атакующих набор для атаки и следы проверки около 20 сайтов: ни один не подошёл под условия атаки.[^10][^16][^17] ## Критика **Провал внутри.** PHP Foundation прямо называет задержку с 2024 года «структурным провалом» — из-за порядка принятия решений в команде безопасности и нехватки людей.[^1] **Успех вопреки утечкам.** Йоханнес Ульрих из SANS Internet Storm Center считает, что скоординированное раскрытие в целом сработало и дало проверенные исправления вовремя, а утечки от тех, кто «не играет по правилам», не должны это заслонять.[^11] **ИИ-мусор вместо эксплойтов.** Опубликованных «эксплойтов» оказалось много, рабочих — почти нет. Боян Здрня из SANS увидел среди них «невероятное количество» сгенерированного ИИ мусора; VulnCheck — сотни репозиториев на GitHub, из которых настоящих единицы; участники хакерских форумов, по обзору Flare, называют публичный код «ИИ-мусором» и «навайбкоженным». Ульрих 23 октября писал, что надёжного публичного эксплойта, насколько ему известно, нет, но несколько компаний заявили, что рабочий код у них есть.[^11][^12][^13][^14] **Эмбарго против ИИ.** Amazon делает вывод, что эмбарго защищает только до тех пор, пока ту же ошибку не нашёл кто-то ещё: ИИ удешевляет превращение исправления или бюллетеня в рабочий эксплойт, и расследование надо вести с первой известной атаки, а не с даты раскрытия. Wiz пишет, что один исследователь с передовыми моделями сделал за неделю то, на что раньше команде мирового уровня понадобились бы месяцы.[^4][^7] ## Развитие PHP Foundation меняет устройство безопасности. В команде безопасности решения будут приниматься большинством, а не согласием всех; о серьёзной уязвимости руководство фонда будет узнавать намного раньше. С мая 2026 года работает команда безопасности экосистемы, в фонде есть ИИ-инженер по безопасности, а в июле и сентябре пришли сотрудники по разбору отчётов и укреплению кода. Нагрузка выросла из-за тех же ИИ-инструментов: с 1 июля команда выпустила 15 CVE и разобрала больше 100 отчётов, оказавшихся неверными, дублями или невоспроизводимыми. Фонд просит компании, хостинги и государства о финансировании.[^1] CISA советует тем, кто не может обновиться или работает на PHP 8.1 и более ранних версиях, отключить системы на PHP до обновления.[^10] > **[ВЫВОД РЕДАКЦИИ]** В PHP2Shell критические уязвимости одного из главных открытых проектов с помощью ИИ нашли три независимые команды в течение августа. Из этого следует главное: секрет больше не держится. Если одну ошибку так быстро находят несколько команд, эмбарго в 71 день держится только на том, что никто больше её пока не нашёл, — и первая атака по данным Amazon пришла раньше раскрытия. Слабое место теперь не поиск, а люди и деньги на исправление и старые версии, которые никто не обновит. Подробнее о явлении — в статье «[ИИ-поиск уязвимостей](https://ftrlg.com/ru/wiki/ai-vulnerability-discovery/)». ## См. также [ИИ-поиск уязвимостей](https://ftrlg.com/ru/wiki/ai-vulnerability-discovery/) · [Открытый код](https://ftrlg.com/ru/wiki/open-source/) · [Кризис мейнтейнеров](https://ftrlg.com/ru/wiki/maintainer-crisis/) · [Жидкий код](https://ftrlg.com/ru/wiki/moving-target-defense/) ## Примечания [^1]: Today's PHP Security Release, and How We're Strengthening PHP Security — The PHP Foundation, 21.10.2026. [thephp.foundation](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) [^2]: PHP: News Archive - 2026 — php.net, 20.10.2026–23.10.2026. [php.net](https://www.php.net/archive/2026.php) [^3]: PHP2Shell by Calif Research — Calif, 21.10.2026. [calif.io](https://calif.io/php2shell/) [^4]: PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz, 21.10.2026. [wiz.io](https://www.wiz.io/blog/php2shell-php-rce) [^5]: OpenAI launches new initiative to help find and patch open source bugs — TechCrunch, 22.06.2026. [techcrunch.com](https://techcrunch.com/2026/06/22/openai-launches-new-initiative-to-help-find-and-patch-open-source-bugs/) [^6]: Комментарий Дэна Лоренца (dlor) — Hacker News, 21.10.2026. [news.ycombinator.com](https://news.ycombinator.com/item?id=50176735) [^7]: Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — Amazon Web Services, 21.10.2026. [aws.amazon.com](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/) [^8]: Cloudflare deploys protections against php2shell vulnerability — Cloudflare, 21.10.2026. [blog.cloudflare.com](https://blog.cloudflare.com/php-vulnerabilities-waf-protection/) [^9]: Hackers pile on PHP2Shell as AWS reveals attacks began before disclosure — The Register, 22.10.2026. [theregister.com](https://www.theregister.com/cyber-crime/2026/10/22/hackers-pile-on-php2shell-as-aws-reveals-attacks-began-before-disclosure/5304749) [^10]: Critical Vulnerabilities in PHP Require Immediate Patching — CISA, 21.10.2026. [cisa.gov](https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching) [^11]: PHP Vulnerability Wrap-Up — SANS Internet Storm Center, 23.10.2026. [isc.sans.edu](https://isc.sans.edu/diary/PHP+Vulnerability+WrapUp/33450/) [^12]: (Reliable)? php2shell exploitability — SANS Internet Storm Center, 23.10.2026. [isc.sans.edu](https://isc.sans.edu/diary/Reliable+php2shell+exploitability/33452/) [^13]: PHP2Shell Vulnerabilities: CVE-2026-109618 and CVE-2026-109619 — VulnCheck, 21.10.2026. [vulncheck.com](https://www.vulncheck.com/blog/php2shell-vulnerabilities) [^14]: "PoC Yes. RCE No.": What the Underground Actually Thinks of the Public PHP2Shell Exploits — Flare, 23.10.2026. [flare.io](https://flare.io/learn/resources/blog/php2shell-exploits-underground-analysis) [^15]: Mirai Botnet Operators Join PHP2Shell Attacks as ASLR Bypass Exploits Emerge — SecurityWeek, 23.10.2026. [securityweek.com](https://www.securityweek.com/mirai-botnet-operators-join-php2shell-attacks-as-aslr-bypass-exploits-emerge/) [^16]: Proof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619) — Sophos, 21.10.2026. [sophos.com](https://www.sophos.com/en-us/blog/proof-of-concept-exploit-released-for-php-vulnerabilities-109618-109619) [^17]: PHP2Shell Exploit Tooling Found on Exposed Attacker Server — SOCRadar, 22.10.2026. [socradar.io](https://socradar.io/blog/php2shell-exploit-tooling-attacker-server/) [^18]: PHP2Shell services — Censys, данные на 25.10.2026. [php2shell.censys.com](https://php2shell.censys.com/) [^19]: Usage Statistics and Market Share of PHP for Websites, October 2026 — W3Techs, 10.2026. [w3techs.com](https://w3techs.com/technologies/details/pl-php) [^20]: PHP Foundation Says Chainguard Broke Security Embargo Ahead of Emergency Patches — Socket, 21.10.2026. [socket.dev](https://socket.dev/blog/php-embargo-dispute) — future.log, «PHP2Shell», https://ftrlg.com/ru/wiki/php2shell/ · CC BY 4.0