Уязвимости PHP вышли за рамки предупреждений — хакеры уже взламывают реальные серверы

Уязвимости в PHP начали активно использоваться злоумышленниками в реальных кибератаках. Сообщения об успешных взломах показывают, что угрозу нельзя считать исключительно теоретической: уязвимые веб-серверы и приложения могут стать точкой входа для атакующих. Владельцам сайтов и системным администраторам необходимо проверить версии PHP, установить актуальные исправления и убедиться, что серверная инфраструктура не осталась без защиты.

Две критические уязвимости позволяют выполнять команды на сервере

Речь идёт о двух критических уязвимостях PHP, получивших общее название PHP2Shell: CVE-2026-109618 и CVE-2026-109619. Обе получили оценку опасности CVSS 9,2 из 10 и могут позволить удалённому злоумышленнику выполнять произвольный код без предварительной авторизации.

Первая проблема связана с повреждением памяти при обработке ситуации, когда PHP исчерпывает доступную память. Вторая возникает из-за использования уже освобождённого участка памяти. При успешной эксплуатации атакующий потенциально может получить доступ к конфиденциальным данным или выполнить команды от имени процесса веб-сервера.

Исследователи подтвердили успешные атаки

26 октября 2026 года издание BleepingComputer сообщило о подтверждённой эксплуатации PHP2Shell. Исследователь безопасности Adel Karimi зафиксировал на своих серверах-ловушках успешное выполнение команд через уязвимую установку Apache с PHP 8.4.26. Результаты также проверил исследователь Marcus Hutchins из компании Expel.

По данным SecurityWeek, 24 октября атакующие запустили в общей сложности 35 командных оболочек на трёх серверах-ловушках. Зафиксированная последовательность запросов соответствовала механизму эксплуатации уязвимости и позволяла перейти от ошибок обработки памяти к выполнению команд операционной системы. При этом исследователи предупредили, что результаты не позволяют автоматически оценить успешность атак на любые другие конфигурации серверов.

Важно учитывать, что подтверждённое выполнение команд было зафиксировано на специально подготовленных серверах-ловушках. Это доказывает работоспособность атаки, но само по себе не означает, что все уязвимые сайты уже взломаны.

Какие версии PHP необходимо обновить

Команда PHP выпустила исправления 21 октября 2026 года. Обновления закрывают критические уязвимости в следующих ветках:

• PHP 8.5 — версия 8.5.12;

• PHP 8.4 — версия 8.4.27;

• PHP 8.3 — версия 8.3.36;

• PHP 8.2 — версия 8.2.35.

Более старые версии также затронуты проблемой. Для PHP 8.1 и более ранних выпусков исправления в рамках этих неподдерживаемых веток недоступны, поэтому администраторам необходимо рассмотреть переход на поддерживаемую версию.

Специалисты рекомендуют в первую очередь обновить серверы, доступные из интернета, проверить все приложения, использующие PHP, и проанализировать журналы на предмет подозрительных запросов и запуска командных оболочек процессами PHP.

Что это означает для владельцев сайтов

PHP используется в тысячах веб-приложений, включая системы управления контентом, интернет-магазины и различные корпоративные сервисы. Поэтому последствия подобных уязвимостей могут затронуть не только сам веб-сервер, но и хранящиеся на нём данные, если права процесса позволяют получить к ним доступ.

Вывод: PHP2Shell перешла из категории потенциальных угроз в категорию уязвимостей с подтверждёнными случаями успешной эксплуатации. Владельцам сайтов и системным администраторам стоит незамедлительно проверить установленные версии PHP, применить исправления и убедиться, что после обновления не осталось признаков компрометации.