21 октября 2026 года сообщество разработчиков и специалисты по кибербезопасности столкнулись с двумя критическими уязвимостями в языке программирования PHP, получившими общее название PHP2Shell. Уязвимости идентифицированы как CVE-2026-109618 и CVE-2026-109619 и оцениваются по шкале CVSS 4.0 с баллом 9.2, что свидетельствует о крайне высокой степени опасности. Разработчики языка оперативно выпустили исправления, включенные в версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12, и призвали владельцев серверов провести обновление немедленно.
Техническая суть проблем заключается в возможности удаленного выполнения кода (RCE) без аутентификации. Первая уязвимость (CVE-2026-109618) эксплуатирует механизм обработки нехватки оперативной памяти (OOM) внутри ядра интерпретатора Zend. При превышении лимита памяти во время разбора запроса, например, multipart/form-data, внутренние структуры парсера остаются частично инициализированными. Процесс очистки памяти принимает неинициализированные указатели за валидные, что позволяет злоумышленнику выполнить произвольный код. Вторая уязвимость (CVE-2026-109619) связана с сохранением глобального состояния рабочего процесса при аварийном завершении запроса по таймауту или фатальной ошибке. Если механизм отслеживания загрузки сессий (session.upload_progress) активен, PHP может обращаться к освобожденной памяти в начале следующего запроса, что также приводит к выполнению вредоносного кода.
Особую тревогу вызывает тот факт, что уязвимости были обнаружены с помощью искусственного интеллекта. Исследователи из компании Calif, работающие в рамках инициативы Patch the Planet, использовали модель GPT-5.6 Sol от OpenAI для выявления ошибок, которые существовали в коде более десяти лет. Независимо это подтвердили специалисты компании Wiz, принадлежащей Google. Эксперты отмечают, что ИИ способен находить скрытые дефекты быстрее традиционных методов, что создает риск появления новых угроз в будущем.
Масштаб угрозы огромен из-за повсеместного использования PHP. На языке работают 69.3% сайтов в мире и 90.8% русскоязычных ресурсов с контентом. Под удар попадают популярные системы управления контентом (CMS), такие как WordPress, Drupal, Joomla, Magento и «1С-Битрикс», а также сайты государственных структур, включая Белый дом и NASA. Важно понимать, что проблема находится в самом языке программирования, а не в конкретных CMS. Обновление движка сайта, например, WordPress, не устранит уязвимость, если не обновлена сама версия PHP. Под угрозой находятся даже простые скрипты на уязвимых версиях.
Попытки эксплуатации уязвимостей фиксируются уже до официального раскрытия информации. Компания Cloudflare сообщила о миллионах попыток атак после публикации деталей, а Amazon и VulnCheck зафиксировали попытки взлома еще 17 октября. Злоумышленники используют IP-адреса из Китая, Канады и Нидерландов. В качестве меры предосторожности ряд организаций, включая государственные ведомства в Европе и некоторые сервисы в России, временно отключили свои сайты. Эксперты предупреждают, что скомпрометированные серверы могут быть использованы для майнинга криптовалют, подбора паролей к другим ресурсам и проведения DDoS-атак.
Для защиты разработчики рекомендуют установить патчи для поддерживаемых версий PHP. Однако значительная часть инфраструктуры, особенно в сегменте энтерпрайза, работает на устаревших версиях, таких как PHP 5.6, которые больше не получают официальных обновлений. В таких случаях полная защита невозможна без замены стека технологий. В качестве временных мер безопасности эксперты предлагают использовать межсетевые экраны (WAF) для фильтрации вредоносных запросов, ограничить доступ к серверам из интернета или временно отключить PHP-системы. Также рекомендуется проверить серверы на признаки взлома и сменить пароли, ключи доступа и токены сессий. После установки обновлений необходимо перезапустить веб-серверы и фоновые обработчики, чтобы удалить старый код из памяти.