Продолжаем отслеживать последние сообщения по PHP2Shell. 20 октября команда разработчиков PHP выкатила уведомление о предстоящем экстренном релизе, который устраняет две критические уязвимости (CVE-2026-109618 и CVE-2026-109619, обе CVSS 9,2). Выпуск экстренных патчей состоялся 21 октября в 17:00 по МСК. Две RCE без аутентификации были обнаружены исследователями Calif, OpenAI и Wiz, затрагивают все установки PHP, обрабатывающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Как пояснила Calif, первоначальная уязвимость OOM в PHP была обнаружена еще в 2020 году, а затем повторно выявлена во время аудита PHP в 2024. Однако, в виду отсутствия доказательств эксплуатации, ее не исправляли. Благодаря передовым моделям ИИ, уязвимость OOM удалось лучше проанализировать и в конечном итоге превратить в боевую RCE. Согласно анализу Wiz, CVE-2026-109618 и CVE-2026-109619 объединяют четыре проблемы безопасности памяти в PHP, но не охватывают все варианты. Как отмечают специалисты, существуют как отслеживаемые, так и, вероятно, еще неотслеживаемые варианты. Релиз пришлось ускорить после того, как информация об уязвимостях утекла в публик раньше запланированного снятия эмбарго. На момент публикации статьи CVE были зарезервированы, но не раскрыты. После чего исследователи Watchtowr подтвердили существование уязвимостей. Параллельно с утечкой деталей, в сети появился эксплойт под неофициальным названием PHP2Shell. В утекшем демо-видео эксплойт показан в действии на веб-серверах с WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS, на которых работает почти 75-80% всех современных сайтов. Как пояснили в Лаборатории Касперского со ссылкой на автора PoC, уязвимости связаны с обработкой типа multipart/form-data вместе с механизмом сессионного прогресса загрузки (session.upload_progress) в ядре PHP и относятся к классам Use-After-Free и повреждения памяти. Это означает, что дефекты не могут быть закрыты средствами прикладного кода - исправление возможно только путем обновления PHP на сервере. Атака работает без аутентификации: злоумышленник, имеющий сетевой доступ к PHP-приложению, может выполнить произвольный код от имени процесса PHP без необходимости проходить авторизацию. Рекомендации PHP от 21 октября, подтверждают эти данные. Уязвимости затрагивают PHP версий 5, 6, 7 и 8. Поддерживаются ветки от 8.2 до 8.5. Более старые ветки, включая PHP 8.1, 8.0, 7.x и 5.x, достигли EoL, однако ввиду высокого уровня критичности уязвимостей для версий 7.4, 8.0 и 8.1 также были выпущены бэкпорт-патчи. Как заявляет команда безопасности PHP, наибольший риск представляет mod_php, поскольку доказана уязвимость, при которой неаутентифицированный запрос может спровоцировать атаку до выполнения какого-либо кода приложения. До выпуска и уже накануне обновлений Cloudflare подтвердила первые атаки, направленные на PHP2Shell, как и Watchtowr, отметившая, что никому из злоумышленников на тот момент не удалось добиться успеха. Множественные попытки нацеливания на php2shell задетектила Hadrian. Также об эксплутациии уязвимостей с использованием публичного PoC сообщили в Patchstack и Vega. Команда безопасности PHP помимо патчей поделилась мерами по смягчению последствий, однако они и не обеспечивают полной защиты от эксплуатации (подробная информация доступна в блоге разработчиков).