⚡️ В PHP обнаружены две критические уязвимости: CVE-2026-109618 и CVE-2026-109619 (PHP2...
⚡️ В PHP обнаружены две критические уязвимости: CVE-2026-109618 и CVE-2026-109619 (PHP2Shell) Они затрагивают сайты и приложения на необновленных версиях PHP начиная с 5.4 по 8.5.4. Специально сформированные запросы используют ошибки обработки памяти и могут привести к выполнению команд с правами процесса веб-сервера без авторизации. Один из путей атаки связан с session.upload_progress — отслеживанием загрузки файлов. Как закрыть уязвимости Обновите PHP до исправленной версии (8.5.12 / 8.4.27 / 8.3.36 / 8.2.35), а также во всех серверных окружениях, контейнерных образах и пайплайнах развертывания. Для пакетов из дистрибутивов, панелей хостинга и готовых образов проверяйте не номер версии, а бюллетень вендора и дату сборки. Например, в Plesk версии 8.1.34, 8.0.30 и 7.4.33 исправления внесены только в сборки от 21 октября 2026 года. После обновления перезапустите все воркеры PHP. Компенсирующие меры ▪️ Задайте в php.ini параметр session.upload_progress.enabled = Off и перезапустите PHP-FPM или Apache ▪️ Настройте WAF или обратный прокси-сервер: ужесточите проверку или ограничьте количество POST-запросов с многокомпонентными данными для конечных точек, которым не требуется загрузка файлов. ❗️ Также известны случаи о поддельных PoC, появившихся после раскрытия. Код эксплойтов нужно проверять перед запуском, даже на стендах. Признаки компрометации Отслеживайте сетевые сессии, которые длятся дольше обычного. Проверяйте процессы с нетипичными именами, включая опечатки в легитимных названиях, а также скрытые сервисы, замаскированные под служебные процессы. Обращайте внимание на знакомые процессы, запущенные из непривычных каталогов, и редкие входящие соединения из инфраструктуры с низкой репутацией. На системах, доступных из интернета, отдельно проверьте дочерние процессы PHP-воркеров, особенно командные оболочки и загрузчики, а также журналы событий начиная с 20 октября.