Перейти до вмісту

PHP2Shell

Матеріал з Вікіпедії — вільної енциклопедії.
PHP2Shell
Wikimedia's Phabricator instance as seen hours before the patch, disabled as a precaution
CVE-2026-109618
Оцінка CVSS 4.09.2
Вектор CVSS 4.0CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Оцінка CVSS 3.x9.8
Вектор CVSS 3.xCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-109619
Оцінка CVSS 4.09.2
Вектор CVSS 4.0CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Оцінка CVSS 3.x8.1
Вектор CVSS 3.xCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Дата виявлення1 серпня, 2026; 3 місяці тому (2026-08-01)
Дата виправлення21 жовтня, 2026; 14 днів тому (2026-10-21)
ВідкривачCalif, OpenAI, Wiz
Вразливе програмне забезпеченняPHP versions 5.4–8.5[1]
Вебсайтphp2shell.com

PHP2Shell — це пара критичних комп'ютерних вразливостей (CVE-2026-109618[2] та CVE-2026-109619[3]) у версіях PHP 5.4 – 8.5, які дозволяють потенційному зловмиснику здійснювати віддалене виконання коду (RCE) та отримувати контроль над сервером вебсайту. Про їхнє існування було публічно оголошено 20 жовтня 2026 року[4]. Наступного дня було випущено екстрене оновлення для версій 8.2, 8.3, 8.4 та 8.5, а також детальну інформацію про вразливості, при цьому численні вебсайти були тимчасово відключені для встановлення патчів, до того, як з'явилася можливість практичного використання експлойтів[5].

PHP — це популярна мова програмування, на якій побудовано багато архітектур веб-сайтів, причому дві вразливості, за оцінками, впливають майже на 70 % комерційної всесвітньої мережі.

Відкриття

[ред. | ред. код]

Вразливості були незалежно виявлені двома сторонами: Раяном Остіном, дослідником каліфорнійської фірми безпеки Calif[6], в рамках проєкту OpenAI «Patch the Planet» у серпні 2026 року, та ізраїльсько-американською компанією хмарної безпеки Wiz, дочірньою компанією Alphabet Inc. та частиною Google Cloud. Остін використав модель OpenAI GPT-5.6 Sol для пошуку вразливості. Дослідники Wiz використовували великі мовні моделі моделі Gemini 4 Argon та GPT-5.6 Sol, а також власний інструмент Wiz Atlas для допомоги у своїх дослідженнях[7].

Версії PHP, починаючи з версії 5.4 (випущеної у 2012 році)[8], були уражені цими вразливостями, і хоча занепокоєння щодо помилок безпеки пам'яті висловлювалися десятиліттями раніше, на той час не було вжито жодних заходів, оскільки вважалося, що розробка робочого експлойту неможлива[9][10]. Розробник ядра PHP виявив помилку Out of memory[en], що стоїть за однією з вразливостей, під час аудиту у 2024 році, але помилку так і не було виправлено; команда розробників не змогла досягти консенсусу щодо того, як це зробити, а конкретний експлойт ще не був виявлений, тому проблемі не було надано пріоритет[11][12].

Розробники PHP оцінили вразливість на 9,2 (критична) з 10 за стандартом CVSS версії 4.0[13], тоді як компанія з безпеки watchTowr оцінила її на повні 10,0[14].

Патчі

[ред. | ред. код]

Розробники PHP випустили виправлені версії PHP 8.2, 8.3, 8.4 та 8.5 (8.2.35, 8.3.36, 8.4.27 та 8.5.12)[5]. Для версій 7.4, 8.0 та 8.1 було випущено патчі вихідного коду, але офіційних оновлених бінарних файлів для цих версій не було випущено, оскільки вони вважаються такими, що належать до категорії, що закінчила термін їхньої підтримки[5]. Також були опубліковані тимчасові заходи щодо пом'якшення наслідків, але розробники заявили, що повних заходів щодо пом'якшення наслідків немає, і що оновлення було єдиним безпечним варіантом[5]. Обидві вразливості були опубліковані через рекомендації щодо безпеки GitHub 21 жовтня 2026 року о 13:34 UTC[15][16], за 26 хвилин до оголошеного часу випуску, а веб-сайт PHP було оновлено невдовзі після цього[17]. cPanel та CloudLinux випустили зворотні порти у своїх екосистемах[18][19].

Розробники PHP оголосили про оновлення завчасно та до релізу, після того, як новини про вразливості просочилися 20 жовтня на форумах Hacker News[20], у публікації на X (раніше Twitter) від компанії з кібербезпеки watchTowr labs, а також у відео з підтвердженням концепції експлойту, помилково опублікованому Calif[21][11]. Попереднє повідомлення на PHP.net заохочувало користувачів підготуватися та оновитися, як тільки патч буде випущено[5]. Одна з фірм в галузі безпеки, Sansec, очікувала, що «масові атаки розпочнуться протягом 15 хвилин після виходу»[22]. Експлойти, описи та часткові способи пом'якшення ризиків почали поширюватися в Інтернеті ще до закінчення ембарго, після того, як платформа розробки Chainguard достроково випустила виправлені версії програмного забезпечення; це дозволило зловмисникам визначити, який код було змінено[14][11].

Amazon Threat Intelligence виявила спробу експлуатації PHP2Shell, що датується 17 жовтня 2026 року, в телеметрії MadPot, за чотири дні до публічного розкриття інформації[23]. Cloudflare повідомила про ознаки ранньої експлуатації до публічного випуску патчу та розгорнула тимчасові правила фаєрвола вебзастосунків(інші мови) як спробу тимчасового усунення вразливості[24][25][26]. Компанія watchTowr, що спеціалізується на безпеці, заявила, що до 21 жовтня спостерігала випадки експлуатації через свою мережу honeypot[27], тоді як Агентство з кібербезпеки та безпеки інфраструктури США(інші мови) заявило, що станом на той самий день не спостерігало випадків експлуатації[28].

Вплив

[ред. | ред. код]
В англійській Вікіпедії розміщено попередження про те, що інструменти, що належать спільноті, не працюють через інцидент з PHP2Shell.

Потенційний вплив вразливості був широкомасштабним. Приблизно 69 % вебсайтів, мова програмування на стороні сервера яких відома W3Tech, використовують PHP, включаючи ті, що використовують системи управління контентом, такі як Drupal, Joomla та WordPress[28.1][29]. PHP також постачається разом із вендорними пристроями, панелями керування веб-хостингу, такими як cPanel та Plesk, та деякими програмами Windows[30].

Дотримуючись рекомендацій CERT-EU(інші мови) та Британського національного центру кібербезпеки(інші мови) (NCSC), багато організацій по всій Європі відключили свої вебсайти як запобіжний захід, поки очікується встановлення патчів, зокрема урядовий портал Нідерландів Overheid.nl, національна шкільна комунікаційна платформа Данії, всі публічні вебсайти уряду Фінляндії та всі вебсайти Міністерства внутрішніх справ Франції[7][29][31][32]. Деякі вебсайти канадського уряду були тимчасово вимкнені як запобіжний захід, вжитий відповідно до рекомендацій Канадського центру кібербезпеки[33]. Агентство національної безпеки США рекомендувало вебсайтам перейти в офлайн-режим, якщо вони не можуть оновитися негайно[9][34]. NCSC опублікувала аналогічне попередження, закликаючи організації бути обережними щодо бекдорів[35]. Національне управління кібербезпеки Японії порадило користувачам PHP негайно оновити свої системи[36]. Сінгапурське агентство з кібербезпеки(інші мови) також закликало організації в Сінгапурі виправити недоліки безпеки[37][38].

Фонд Вікімедіа закрив багато своїх допоміжних служб, а форуми, такі як 4chan та Something Awful[en], перестали працювати[28][39][9]. Кілька японських веб-сайтів та додатків також перестали працювати, зокрема такі ігри, як Umamusume: Pretty Derby, Granblue Fantasy та Princess Connect! Re:Dive(інші мови) та численні сайти електронної комерції[36][39]. Internet Archive ненадовго припинив роботу, щоб вирішити проблему[40].

Аналіз

[ред. | ред. код]

Дослідники Wiz заявили, що ця проблема була нарівні з Heartbleed, вразливістю 2014 року, яка вплинула на OpenSSL, бібліотеку шифрування, яку на той час використовували приблизно дві третини Інтернету[41]. У коментарі в The Guardian зазначалося, що PHP Foundation, який підтримує мову PHP, мав лише 13 штатних та неповних співробітників і покладався на фінансові внески, тоді як дослідження штучного інтелекту, яким приписують допомогу у виявленні вразливості, отримали «мільярди» інвестицій[42]. У газеті «Нью-Йорк Таймс» йшлося про «повсюдне поширення» PHP та висловлювалися припущення, що персональні дані «звичайних користувачів» можуть бути під загрозою[43]. Чеському волонтеру Ондржею Сурі приписують вирішальну роль в автоматизації необхідних патчів[44].

Див. також

[ред. | ред. код]
  • Log4Shell - аналогічна вразливість 2021 року в бібліотеці журналювання Log4j для Java.

Примітки

[ред. | ред. код]
  1. ↑ PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet. Wiz Blog (амер.). 21 жовтня 2026. Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  2. ↑ CVE-2026-109618. Mitre. Архів оригіналу за 22 жовтня 2026. Процитовано 22 жовтня 2026.
  3. ↑ CVE-2026-109619. Mitre. Архів оригіналу за 22 жовтня 2026. Процитовано 22 жовтня 2026.
  4. ↑ PHP: News Archive - 20 Oct 2026 (англ.). PHP. 20 жовтня 2026. Архів оригіналу за 20 жовтня 2026. Процитовано 21 жовтня 2026.
  5. 1 2 3 4 5 PHP: News Archive – 21 Oct 2026 (англ.). PHP. 21 жовтня 2026. Архів оригіналу за 20 жовтня 2026. Процитовано 21 жовтня 2026.
  6. ↑ Volz, Dustin (8 вересня 2026). A Hacking Tool Built With A.I. Can Breach Phones Without a Click. The New York Times. Процитовано 21 жовтня 2026.
  7. 1 2 Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (21 жовтня 2026). Government websites go dark after AI-discovered flaw sparks security scramble. Reuters (англ.). Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  8. ↑ PHP: Releases (англ.). PHP. Архів оригіналу за 12 листопада 2006. Процитовано 22 жовтня 2026.
  9. 1 2 3 Kan, Michael (21 жовтня 2026). This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says. PCMag (англ.). Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  10. ↑ McMillan, Robert (21 жовтня 2026). Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk. The Wall Street Journal. Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  11. 1 2 3 Constantin, Ana Maria (21 жовтня 2026). PHP knew about one of the flaws in 2024 but could not agree a fix. The Next Web. Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  12. ↑ Today's PHP Security Release, and How We're Strengthening PHP Security (англ.). The PHP Foundation. Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  13. ↑ php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release. PHP Lists. Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  14. 1 2 Abrams, Lawrence. PHP warns admins of two critical flaws, emergency patches coming tomorrow. Bleeping Computer[en] (амер.). Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  15. ↑ RCE via OOM corruption. 21 жовтня 2026. Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026 — через GitHub.
  16. ↑ RCE via stale global state. 21 жовтня 2026. Архів оригіналу за 23 жовтня 2026. Процитовано 21 жовтня 2026 — через GitHub.
  17. ↑ Scherzer, Daniel (22 жовтня 2026). Blog: PHP2Shell: a Timeline. scherzer.dev (англ.). Процитовано 22 жовтня 2026.
  18. ↑ Critical PHP Security Release - CVE-2026-109618 and CVE-2026-109619. cPanel (амер.). 22 жовтня 2026. Процитовано 23 жовтня 2026.
  19. ↑ Galov, Niko (21 жовтня 2026). PHP CVE-2026-109618 and CVE-2026-109619: CloudLinux Package Status and Imunify360 Protection. CloudLinux (амер.). Архів оригіналу за 23 жовтня 2026. Процитовано 23 жовтня 2026.
  20. ↑ Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming. Hacker News (англ.). Архів оригіналу за 21 жовтня 2026. Процитовано 22 жовтня 2026.
  21. ↑ McMillan, Robert (21 жовтня 2026). Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk. The Wall Street Journal. Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  22. ↑ Goodin, Dan (20 жовтня 2026). PHP warns it plans to release 2 emergency patches imminently. Ars Technica (англ.). Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  23. ↑ Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot | AWS Security Blog. Amazon AWS. 21 жовтня 2026. Архів оригіналу за 21 жовтня 2026. Процитовано 22 жовтня 2026.
  24. ↑ Gatlan, Sergiu (21 жовтня 2026). PHP ships emergency patches for critical PHP2Shell flaws. Bleeping Computer[en] (амер.). Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  25. ↑ Hold on to your butts: Web admins braced for emergency PHP updates to plug leaked exploits. PC Gamer (англ.). 21 жовтня 2026. Процитовано 21 жовтня 2026.
  26. ↑ Knecht, Dane [@dok2001] (21 жовтня 2026). PHP sites behind Cloudflare already have an initial set of WAF rules deployed for the known exploit vectors in these vulnerabilities. The rules are available to all customers, including free. [...] (Твіт) — через X (раніше знана як Твіттер).
  27. ↑ PHP RCE FAQ: PHP2Shell CVE-2026-109618 & CVE-2026-109619. watchTowr (англ.). 20 жовтня 2026. Процитовано 21 жовтня 2026.
  28. 1 2 Collier, Kevin (21 жовтня 2026). Critical vulnerabilities in commonly used web code spark rush to update systems. NBC News (англ.). Процитовано 21 жовтня 2026.
    1. ↑ Citing Usage statistics of PHP for websites. W3Techs. Процитовано 23 жовтня 2026.
  29. 1 2 Gerkin, Tom (21 жовтня 2026). Websites taken down worldwide as critical PHP cyber-security update issued. BBC News. Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  30. ↑ Hammond, John (21 жовтня 2026). Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619). Huntress (англ.). Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  31. ↑ Van Dessel, Josse (21 жовтня 2026). Major websites go offline as critical PHP vulnerability triggers security fears. The Brussels Times (англ.). Процитовано 21 жовтня 2026.
  32. ↑ Critical security issue affecting PHP (Пресреліз). National Cyber Security Centre. 21 жовтня 2026. Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  33. ↑ Beauchemin, Genevieve (22 жовтня 2026). Canadian apps and government websites go offline to ward off online danger. CP24. Процитовано 23 жовтня 2026.
  34. ↑ NSA Advisory: PHP Updates. NSA Press Room. 21 жовтня 2026. Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026. Effective immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities.
  35. ↑ Booth, Robert; Down, Aisha (21 жовтня 2026). Flaw in PHP computer language leads to shutdown of websites around world. The Guardian. Процитовано 21 жовтня 2026.
  36. 1 2 著名ITサービス相次いで緊急メンテへ コドモン、シャドバ、BASE、さくらのレンタルサーバなど 「PHP」脆弱性に起因か [Several prominent IT services—including Codmon, Shadowverse, BASE, and Sakura Rental Server—have initiated emergency maintenance, likely due to a vulnerability in PHP] (яп.). ITmedia. 21 жовтня 2026. Архів оригіналу за 21 жовтня 2026. Процитовано 21 жовтня 2026.
  37. ↑ Singapore organisations urged to patch critical PHP flaws immediately amid cyberattack threat. CNA. 22 жовтня 2026. Архів оригіналу за 23 жовтня 2026. Процитовано 23 жовтня 2026.
  38. ↑ Critical Vulnerabilities in PHP (PHP2Shell). Cyber Security Agency of Singapore. 21 жовтня 2026. Архів оригіналу за 23 жовтня 2026. Процитовано 23 жовтня 2026.
  39. 1 2 Tauber, Olivia (21 жовтня 2026). PHP vulnerability: Which websites and services are affected?. Mashable (англ.). Архів оригіналу за 22 жовтня 2026. Процитовано 21 жовтня 2026.
  40. ↑ Smith, Paul; Mizen, Ronald (21 жовтня 2026). AI just discovered a bug putting 70pc of world's websites at risk. Australian Financial Review (англ.). Архів оригіналу за 23 жовтня 2026. Процитовано 22 жовтня 2026.
  41. ↑ Eadicicco, Lisa (21 жовтня 2026). Global websites shut down after AI found a critical flaw affecting 70% of the internet | CNN Business. CNN. Процитовано 22 жовтня 2026.
  42. ↑ Taylor, Josh (22 жовтня 2026). What is PHP, and how bad is the computer language flaw causing website shutdowns globally?. The Guardian. Процитовано 22 жовтня 2026.
  43. ↑ Adam, Karla; Volz, Dustin (22 жовтня 2026). What Is PHP? Why Are Government and Business Websites Going Offline?. The New York Times. ISSN 0362-4331. Процитовано 22 жовтня 2026.
  44. ↑ Warzel, Charlie (22 жовтня 2026). 'If Anything Happens to This Guy ... Everyone Is Screwed'. The Atlantic. Архів оригіналу за 23 жовтня 2026. Процитовано 23 жовтня 2026.

Посилання

[ред. | ред. код]
Отримано з https://uk.wikipedia.org/w/index.php?title=PHP2Shell&oldid=49053225