Американское агентство по кибербезопасности CISA 26 октября добавило две критические уязвимости PHP2Shell в каталог Known Exploited Vulnerabilities. Ошибки CVE-2026-109618 и CVE-2026-109619 позволяют без учётной записи удалённо выполнить код на сервере.
Уязвимы установки PHP, которые обрабатывают веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Разработчики PHP считают самым высоким риск для Apache с mod_php: в этой конфигурации атаку можно провести до запуска кода сайта или системы управления контентом.
Исследователь Адель Карими 24 октября подтвердил успешную эксплуатацию CVE-2026-109618. На трёх серверах-приманках с PHP 8.4.26 и Apache mod_php он зафиксировал 35 запусков командной оболочки /bin/sh непосредственно из процессов Apache. Последовательность запросов соответствовала опубликованному демонстрационному эксплойту. Серверы использовали один рабочий процесс и были намеренно настроены благоприятным для атаки образом, поэтому эксперимент не показывает её надёжность в других конфигурациях. Отдельно CISA внесло в каталог эксплуатируемых обе уязвимости, включая CVE-2026-109619.
Исправления вышли 21 октября в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для пакетов из репозиториев Linux необходимо проверить наличие обновлений у поставщика дистрибутива. PHP 8.1 и более старые ветки больше не получают обычные исправления проекта, но некоторые поставщики долгосрочной поддержки выпускают собственные патчи.
Администраторам следует найти все доступные из интернета системы с PHP, установить исправленные версии и проверить журналы и процессы на признаки взлома. Среди подозрительной активности CISA называет запуск командных оболочек и загрузку инструментов рабочими процессами PHP; для поиска таких событий агентство опубликовало правило SIGMA. Если обновление пока невозможно, CISA рекомендует отключить систему от сети. Межсетевой экран веб-приложений может снизить риск, но не заменяет исправление.