🛡 Критические уязвимости PHP2Shell поставили под 🥷❗️удар миллионы веб-серверов по все...
🛡 Критические уязвимости PHP2Shell поставили под 🥷❗️удар миллионы веб-серверов по всему миру Сегодня команда разработчиков и безопасности PHP, о чьём релизе заранее информировала некоммерческая организация The PHP Foundation, выпустила экстренные патчи для двух критических уязвимостей CVE-2026-109618 и CVE-2026-109619, которые получили неофициальное общее название PHP2Shell и оценку 🧐 9,2 балла по шкале CVSS v4.0. Ситуация развивалась стремительно, поскольку ещё накануне вечером создатели языка предприняли нетипичный шаг и заранее предупредили администраторов о предстоящем релизе для закрытия двух критических проблем, которые в первых публикациях на Hacker News, бюллетене CERT-EU и ранней сводке аналитиков watchTowr (по данным Tenable) охарактеризовали как уязвимости удалённого выполнения кода (RCE) без аутентификации с предварительной оценкой до максимальных 10 баллов. Ещё 20 октября, раньше запланированного снятия эмбарго, сведения об уязвимостях просочились на площадку Hacker News и в соцсеть X вместе со скриншотом и демонстрационным видео предполагаемого эксплойта PHP2Shell, а вслед за официальным анонсом разработчиков команды облачных платформ (включая Laravel и Plesk) и национальные центры кибербезопасности Евросоюза, 🇩🇪Германии, 🇬🇧Великобритании, 🇳🇱Нидерландов, 🇯🇵Японии и 🇦🇺Австралии опубликовали экстренные оповещения для владельцев сайтов. Уже в 10:43 мск (07:43 UTC) компания ❗️ Cloudflare зафиксировала первые атаки на PHP-сайты, а её технический директор Дейн Кнехт сообщил о развёртывании временных защитных правил WAF для всех клиентов, включая бесплатный тариф, тогда как на фоне угрозы администраторы Nintendo, Палаты представителей парламента Нидерландов и платформы Phabricator фонда Wikimedia в качестве меры предосторожности временно отключили свои сайты и веб-сервисы до выхода исправлений. 🕵️Как показало техническое расследование специалистов Sansec, обе уязвимости связаны с ошибками безопасности памяти при обработке фатального сбоя из-за превышения лимита memory_limit, причём самый ранний уязвимый участок кода появился ещё в ветке PHP 5.4.0 в 2012 году и достижим при настройках по умолчанию. Поскольку на PHP работает более 70% всех сайтов в интернете, а по данным Laravel News проблема охватывает любые обрабатывающие веб-запросы связки (включая PHP-FPM, Apache с модулем mod_php, php-cgi, FrankenPHP и LiteSpeed), под угрозой оказались миллионы веб-ресурсов.