PHP2Shell: две критические уязвимости в PHP, найденные с помощью ИИ, — что обновить владельцу сайта
Первоисточник: PHP (бюллетень безопасности на GitHub) · событие
Короткий ответ: 21 октября 2026 года проект PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, которые закрывают две критические уязвимости — CVE-2026-109618 и CVE-2026-109619, обе с оценкой 9,2 из 10 по CVSS 4.0. Исследователи назвали их PHP2Shell: без входа на сайт злоумышленник может выполнить свой код на сервере. По Google, уязвимы все версии PHP с 5.4 по 8.5.11, а в поиске ошибок участвовали модели ИИ, в том числе Gemini 4 Argon. Сайтов на PHP — большинство, включая WordPress и 1С-Битрикс, поэтому обновляться стоит сегодня.
Что произошло
20 октября PHP заранее объявил выпуск исправлений на 21 октября, 14:00 UTC; в тот же день, по данным Huntress, подробности утекли в сеть раньше срока. 21 октября вышли исправленные версии и два бюллетеня безопасности на GitHub.
| CVE-2026-109618 | CVE-2026-109619 | |
|---|---|---|
| Суть | выполнение кода через порчу памяти, когда PHP упирается в лимит памяти при разборе запроса | выполнение кода через «устаревшее» глобальное состояние |
| Оценка CVSS 4.0 | 9,2 (критическая) | 9,2 (критическая) |
| Нужен ли вход на сайт | нет | нет |
| Где подтверждено | mod_php (Apache); FrankenPHP — вероятно; FPM — по анализу кода, без готового эксплойта | mod_php и FPM (через отслеживание загрузки файлов в сессии); на PHP 8.5 — при включённых fatal_error_backtraces |
| Временная мера из бюллетеня | memory_limit=-1 через php_admin_value и ограничить post_max_size (8M без загрузок, 32M с загрузками) |
session.upload_progress.enabled=0; на PHP 8.5 ещё fatal_error_backtraces=0 |
Масштаб: по данным Palo Alto Networks (Unit 42) на 21 октября, в интернете видно более 22,6 млн потенциально уязвимых серверов; как минимум одно европейское правительство на время отключило свой сайт. Amazon, по пересказу Help Net Security, зафиксировал попытку атаки ещё 17 октября — за четыре дня до раскрытия; откуда у атакующего были подробности, неизвестно.
Почему это важно
Это уязвимость не плагина и не конкретной CMS, а самого языка, на котором работает большая часть сайтов. Ошибку нельзя «отключить и забыть», как плохой модуль: исправляет только обновление интерпретатора. PHP прямо пишет в бюллетене, что обновление — единственный безопасный вариант, а временные настройки закрывают риск лишь частично.
Вторая сторона — роль ИИ. Wiz Research, по Help Net Security, говорит, что передовые модели «существенно снизили порог»: давний изъян удалось превратить в рабочий эксплойт. Google в своём блоге пишет, что Gemini 4 Argon помогла найти уязвимость, написать эксплойт, распознавать атаки и проверить исправление. Это уже не первый такой случай в нашей ленте: в сентябре ИИ-агент OpenAI взломал госсайт Австралии. Разница в том, что теперь модели находят ошибки в фундаменте интернета, и ускоряется это для обеих сторон — защитников и атакующих.
Что это значит для читателя
Если у вас сайт на WordPress, 1С-Битрикс, Joomla, Drupal, MODX или любом самописном движке на PHP — проверьте версию. Пошагово:
- Узнайте версию PHP — в панели хостинга (раздел «PHP» или «Версия PHP») или командой
php -vна своём сервере. Безопасно: 8.5.12+, 8.4.27+, 8.3.36+, 8.2.35+. - На хостинге — переключите сайт на исправленную ветку или спросите поддержку, обновлён ли PHP. Хостинг обновляет интерпретатор сам, но не всегда в тот же день.
- На своём сервере — поставьте обновления безопасности дистрибутива и перезапустите все процессы PHP (FPM, Apache). У пакетов дистрибутива номер версии может не совпасть с номерами выше — ориентируйтесь на упоминание CVE-2026-109618 и CVE-2026-109619 в описании обновления.
- PHP 8.1 и старше проект больше не поддерживает; минимальные исправления для 7.4, 8.0 и 8.1 команда безопасности выложила в исходниках, но поставить их — задача хостинга или администратора. Старый сайт — повод наконец перейти на 8.2 и новее (PHP 8.2 поддерживается до 31.12.2026).
- Если обновиться прямо сейчас нельзя — включите временные настройки из таблицы выше и перезапустите процессы. Не полагайтесь на
display_errors,error_reportingили подавление ошибок@: в бюллетене сказано, что они не помогают.
Наш сайт эта уязвимость не затрагивает: neirovybor.ru — статические страницы, PHP в обслуживании запросов не участвует.
Честное ограничение. Технические детали — по бюллетеням PHP на GitHub и новостям php.net от 20–21 октября 2026 года. Число уязвимых серверов — оценка Palo Alto Networks; попытка атаки 17 октября — по пересказу Help Net Security, пост самого Amazon мы не читали. Страницы OpenAI о программе поиска уязвимостей Patch the Planet нам не открылись, поэтому её роль в этой истории мы не описываем. Разбивки по странам, в том числе по России, ни один источник не дал. Официальных сообщений НКЦКИ и 1С-Битрикс об этих CVE на 22 октября мы не нашли.
Читать рядом: Gemini 4 Argon: Google обошла GPT-6 Astra, но пока не для всех · ИИ-агент OpenAI взломал госсайт Австралии
Материал носит информационный характер и не является финансовой, юридической или инвестиционной рекомендацией и публичной офертой. Цены и условия верны на дату проверки 22 октября 2026 и могут измениться — сверяйте их на сайте сервиса перед оплатой. Решения вы принимаете самостоятельно. Правовая информация.
Частые вопросы
Какие версии PHP безопасны после PHP2Shell?
По бюллетеню PHP от 21 октября 2026 года — 8.5.12, 8.4.27, 8.3.36 и 8.2.35 и новее. Уязвимы все версии ниже этих. Если PHP поставлен пакетами дистрибутива (Ubuntu, Debian, Red Hat и других), номер версии может остаться прежним — смотрите, вышло ли у дистрибутива обновление безопасности с номерами CVE-2026-109618 и CVE-2026-109619.
Что делать, если на сайте PHP 7.4, 8.0 или 8.1?
Проект PHP эти ветки больше не обновляет, но его команда безопасности выложила минимальные исправления исходного кода для 7.4, 8.0 и 8.1 на GitHub — ими пользуются дистрибутивы и поставщики длительной поддержки. Для владельца сайта на хостинге практичный путь — попросить хостинг поставить исправленную сборку или перейти на 8.2.35 и новее. Временные настройки из бюллетеня закрывают риск только частично.
Правда ли, что уязвимости нашёл ИИ?
Частично. Уязвимости раскрыли PHP и исследователи Wiz Research. В блоге Google Cloud сказано, что Wiz использовала несколько моделей, чтобы найти и помочь исправить ошибки, а Gemini 4 Argon внесла вклад в поиск уязвимости, создание эксплойта и проверку исправления. Других моделей поимённо никто не назвал.