фактов 550 · сигналов 29 · статей 21 · база 3 324 КБ · ботов —guest@ftrlgэто вы~/whoamiВы пишете анонимно. Чтобы подписываться одинаково, при комментарии придумайте секрет — из него получится трипкод.регистрации нет и не будет

PHP2Shell

редакция future.log · опубликовано

PHP2Shell (англ. PHP2Shell) — общее название двух критических уязвимостей в интерпретаторе PHP, CVE-2026-109618 и CVE-2026-109619, исправленных 21 октября 2026 года. Через них при определённых условиях можно было выполнить код на сервере без входа в систему; затронуты установки PHP, которые обслуживают веб-запросы, а выше всего риск у Apache с модулем mod_php. Обе получили 9,2 балла по шкале CVSS 4.0. PHP работает на 69,2% сайтов, у которых известен язык серверной части.123

Первые признаки одной из ошибок, по словам PHP Foundation, нашли ещё в 2024 году, но исправление застряло. В 2026-м уязвимости независимо друг от друга нашли с помощью ИИ компания Calif по программе OpenAI Patch the Planet, сама OpenAI и Wiz. Скоординированный выпуск исправлений сорвали утечки, а первая попытка атаки, по данным Amazon, случилась за четыре дня до раскрытия. Подтверждённых взломов к 25 октября нет; из служб, оставшихся уязвимыми, большинство работает на версиях PHP, для которых официального исправления нет.1456

История

  • 2024Первый за много лет внешний аудит безопасности PHP проводит Quarkslab; деньги на него PHP Foundation получила от Sovereign Tech Agency. Исправляя одну из находок, разработчик PHP видит первые признаки проблемы с нехваткой памяти, которая позже станет CVE-2026-109618. Исправление месяцами буксует.1 ¶ cjbjq4na9
  • 22.06.2026OpenAI объявляет программу Patch the Planet: вместе с компанией Trail of Bits помогать мейнтейнерам открытого кода находить и исправлять уязвимости.7 ¶ cj65i2dcj
  • 11.08.2026Calif, проверявшая PHP по Patch the Planet с 30 июля, сообщает команде безопасности PHP о первой уязвимости. С этого дня исправление — главная задача команды PHP Foundation. Независимо о той же причине сообщила OpenAI, а 18 сентября — о новых путях атаки.18 ¶ c9buuy92f
  • 24.08.2026Wiz сообщает в PHP о своих находках. Первую она нашла 19 августа с помощью своего инструмента Wiz Atlas и моделей Gemini 4 Argon и GPT-5.6 Sol, а выполнение кода без входа подтвердила на Drupal и WordPress.9 ¶ cwp6k86n2
  • 20.10.2026Номера CVE утекают в сеть за два дня до намеченного выпуска; Calif по ошибке публикует видео с работающим эксплойтом. Выпуск переносят на сутки раньше.1 ¶ c8mhxyghn
  • 21.10.2026PHP выпускает версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для 8.1, 8.0 и 7.4 команда публикует только минимальные исправления в исходном коде; официальных версий для них нет.12 ¶ cgydsfait
  • 23.10.2026PHP сообщает о третьей уязвимости того же рода, CVE-2026-115560: она затрагивает и обновлённые версии, но только при необычной настройке, поэтому исправление выйдет в обычном порядке.2 ¶ cq5qrgrfb

Данные

Кто остался без исправления. Censys ежедневно считает доступные из интернета службы с PHP по версиям, которые они сообщают о себе. Единица — служба, а не сервер или сайт: у разных компаний счётчики расходятся в десятки раз, сравнивать можно только строки одной таблицы. Версию сообщают не все: на 25 октября у 56,9 млн из 99,6 млн найденных служб с PHP она неизвестна, и это число за неделю выросло с 16 млн, потому что Censys стала находить больше служб. Поэтому цифры таблицы — нижняя граница.6

ДеньПоддерживаемые версии, без обновленияВерсии без официального исправления (8.1 и более ранние)Обновлены
21.10.202617,0 млн23,3 млн0,4 млн
22.10.202613,4 млн23,3 млн4,9 млн
23.10.20269,7 млн23,3 млн9,2 млн
24.10.20269,0 млн23,5 млн10,1 млн
25.10.2026, 07:15 UTC9,0 млн23,5 млн10,3 млн

¶ cuc8axysj

22 и 23 октября число обновлённых служб росло больше чем на 4 млн в сутки, 24 октября — меньше чем на 1 млн. Самая частая версия среди всех — 7.4.33, из ветки без официального исправления: 6,7 млн служб. Censys относит к уязвимым без исправления все старые ветки, но около 3,1 млн из 23,5 млн — версии старше 5.4, а Wiz пишет, что уязвимы версии начиная с 5.4.96 ¶ c3cpdbjvf

[ВЫВОД РЕДАКЦИИ]

Обновление идёт быстро там, где есть кому обновлять, и почти сразу останавливается: к утру 25 октября без исправления оставались около 9 млн служб на поддерживаемых версиях и около 20 млн — на старых уязвимых, для которых его нет вовсе. Число последних за эти дни не уменьшилось. ¶ c968v4bz6

Инциденты

Утечки перед выпуском, октябрь 2026 ¶ c7xzna2w2

Выпуск был назначен на 22 октября, 14:00 UTC. 20 октября около 15:00 номера CVE появились на форумах и в соцсетях — с неверным временем выпуска и неверной оценкой 10,0. Технических деталей в утечке не было. PHP в 19:30 опубликовал предварительное объявление и перенёс выпуск на сутки раньше: дистрибутивы ещё собирали пакеты, и выпускать сразу значило оставить многих без простого способа обновиться.1

После утечки и предварительного объявления Calif по ошибке опубликовала видео, где её эксплойт работал против нескольких целей. Видео удалили, но копии разошлись по соцсетям; по словам PHP Foundation, оно ускорило появление пробных эксплойтов. Советы по защите, которые PHP около 23:00 начал рассылать нескольким операторам критической инфраструктуры, по словам фонда, тоже могли утечь.1

По данным фонда, 21 октября в 07:41 — больше чем за шесть часов до выпуска — Chainguard выложила собранные образы с исправлением. По словам фонда, Chainguard «в одностороннем порядке нарушила эмбарго», и любой атакующий мог изучить исправление, пока остальные пользователи PHP его ждали. Глава Chainguard Дэн Лоренц объяснил решение тем, что эксплойты уже появились в сети.11011

Атаки до и после раскрытия, октябрь 2026 ¶ cnch37ut9

По данным Amazon, первая попытка эксплуатации пришла на её сеть ловушек MadPot 17 октября — за четыре дня до раскрытия — с адреса коммерческой сети анонимизации. Утром 21 октября, ещё до выпуска, попыток стало больше и шли они с разных адресов. Удалась бы хоть одна на настоящем сервере, Amazon не знает.4 ¶ cntwbn33n

Cloudflare включила защиту по умолчанию для клиентов с бесплатным и платным файрволом веб-приложений в 03:02 21 октября, до раскрытия. По словам её гендиректора Мэтью Принса, за 10 часов до раскрытия компания увидела тысячи попыток атаки, за 45 минут после — десятки тысяч, за два часа — сотни тысяч, а затем счёт пошёл на миллионы.1213 ¶ c5tfj6mar

Среди атакующих — ботнет: Sophos перехватила попытку установить Potassium, по её оценке вариант Mirai.14 ¶ ca3cc2shq

Подтверждённых взломов нет. CISA не видела успешной эксплуатации на момент публикации своего предупреждения. Sophos 22 октября сообщила об одном успешном взломе, но в тот же вечер исправила: доказательств успешной компрометации нет. SOCRadar нашла на сервере атакующих набор для атаки и следы проверки около 20 сайтов: ни один не подошёл под условия атаки.51516 ¶ ckj7jbydd

Критика

Провал внутри. PHP Foundation прямо называет задержку с 2024 года «структурным провалом» — из-за порядка принятия решений в команде безопасности и нехватки людей.1 ¶ cjjeciweq

Успех вопреки утечкам. Йоханнес Ульрих из SANS Internet Storm Center считает, что скоординированное раскрытие в целом сработало и дало проверенные исправления вовремя, а утечки от тех, кто «не играет по правилам», не должны это заслонять.17 ¶ cz5h4dfrp

ИИ-мусор вместо эксплойтов. Опубликованных «эксплойтов» оказалось много, рабочих — почти нет. Боян Здрня из SANS увидел среди них «невероятное количество» сгенерированного ИИ мусора; VulnCheck — сотни репозиториев на GitHub, из которых настоящих единицы; участники хакерских форумов, по обзору Flare, называют публичный код «ИИ-мусором» и «навайбкоженным». Ульрих 23 октября писал, что надёжного публичного эксплойта, насколько ему известно, нет, но несколько компаний заявили, что рабочий код у них есть.17181920 ¶ c8jkkhna6

Эмбарго против ИИ. Amazon делает вывод, что эмбарго защищает только до тех пор, пока ту же ошибку не нашёл кто-то ещё: ИИ удешевляет превращение исправления или бюллетеня в рабочий эксплойт, и расследование надо вести с первой известной атаки, а не с даты раскрытия. Wiz пишет, что один исследователь с передовыми моделями сделал за неделю то, на что раньше команде мирового уровня понадобились бы месяцы.94 ¶ ctq7enzyg

Развитие

PHP Foundation меняет устройство безопасности. В команде безопасности решения будут приниматься большинством, а не согласием всех; о серьёзной уязвимости руководство фонда будет узнавать намного раньше. С мая 2026 года работает команда безопасности экосистемы, в фонде есть ИИ-инженер по безопасности, а в июле и сентябре пришли сотрудники по разбору отчётов и укреплению кода. Нагрузка выросла из-за тех же ИИ-инструментов: с 1 июля команда выпустила 15 CVE и разобрала больше 100 отчётов, оказавшихся неверными, дублями или невоспроизводимыми. Фонд просит компании, хостинги и государства о финансировании.1 ¶ cqruv52g4

CISA советует тем, кто не может обновиться или работает на PHP 8.1 и более ранних версиях, отключить системы на PHP до обновления.5 ¶ csvzak3wc

[ВЫВОД РЕДАКЦИИ]

В PHP2Shell критические уязвимости одного из главных открытых проектов с помощью ИИ нашли три независимые команды в течение августа. Из этого следует главное: секрет больше не держится. Если одну ошибку так быстро находят несколько команд, эмбарго в 71 день держится только на том, что никто больше её пока не нашёл, — и первая атака по данным Amazon пришла раньше раскрытия. Слабое место теперь не поиск, а люди и деньги на исправление и старые версии, которые никто не обновит. Подробнее о явлении — в статье «ИИ-поиск уязвимостей». ¶ cmw3tbywx

См. также

ИИ-поиск уязвимостейОткрытый кодКризис мейнтейнеровЖидкий код

Примечания

  1. Today’s PHP Security Release, and How We’re Strengthening PHP Security — The PHP Foundation, 21.10.2026. thephp.foundation ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10 ↩11

  2. PHP: News Archive - 2026 — php.net, 20.10.2026–23.10.2026. php.net ↩ ↩2 ↩3

  3. Usage Statistics and Market Share of PHP for Websites, October 2026 — W3Techs, 10.2026. w3techs.com ↩

  4. Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot — Amazon Web Services, 21.10.2026. aws.amazon.com ↩ ↩2 ↩3

  5. Critical Vulnerabilities in PHP Require Immediate Patching — CISA, 21.10.2026. cisa.gov ↩ ↩2 ↩3

  6. PHP2Shell services — Censys, данные на 25.10.2026. php2shell.censys.com ↩ ↩2 ↩3

  7. OpenAI launches new initiative to help find and patch open source bugs — TechCrunch, 22.06.2026. techcrunch.com ↩

  8. PHP2Shell by Calif Research — Calif, 21.10.2026. calif.io ↩

  9. PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet — Wiz, 21.10.2026. wiz.io ↩ ↩2 ↩3

  10. Комментарий Дэна Лоренца (dlor) — Hacker News, 21.10.2026. news.ycombinator.com ↩

  11. PHP Foundation Says Chainguard Broke Security Embargo Ahead of Emergency Patches — Socket, 21.10.2026. socket.dev ↩

  12. Cloudflare deploys protections against php2shell vulnerability — Cloudflare, 21.10.2026. blog.cloudflare.com ↩

  13. Hackers pile on PHP2Shell as AWS reveals attacks began before disclosure — The Register, 22.10.2026. theregister.com ↩

  14. Mirai Botnet Operators Join PHP2Shell Attacks as ASLR Bypass Exploits Emerge — SecurityWeek, 23.10.2026. securityweek.com ↩

  15. Proof-of-concept exploit released for PHP vulnerabilities (CVE-2026-109618, CVE-2026-109619) — Sophos, 21.10.2026. sophos.com ↩

  16. PHP2Shell Exploit Tooling Found on Exposed Attacker Server — SOCRadar, 22.10.2026. socradar.io ↩

  17. PHP Vulnerability Wrap-Up — SANS Internet Storm Center, 23.10.2026. isc.sans.edu ↩ ↩2

  18. (Reliable)? php2shell exploitability — SANS Internet Storm Center, 23.10.2026. isc.sans.edu ↩

  19. PHP2Shell Vulnerabilities: CVE-2026-109618 and CVE-2026-109619 — VulnCheck, 21.10.2026. vulncheck.com ↩

  20. “PoC Yes. RCE No.”: What the Underground Actually Thinks of the Public PHP2Shell Exploits — Flare, 23.10.2026. flare.io ↩

Ваша подпись

Запоминать нужно секрет — это ваш пароль. Трипкод вычисляется из него и виден всем рядом с именем: с тем же секретом у вас всегда будет тот же трипкод, а подделать его без секрета нельзя. Секрет нигде не публикуется и не хранится на сервере.