PHP2Shell: что известно о критических уязвимостях в PHP и как защитить серверы
Две критические уязвимости в движке PHP позволяют выполнить код на сервере без авторизации. Разбираем цепочку атаки и делимся чек-листом защиты для ИТ- и ИБ-служб
20 октября в сеть раньше срока утекли детали двух критических уязвимостей в движке PHP — CVE-2026-109618 и CVE-2026-109619, которые получили общее название PHP2Shell. Они позволяют удалённо выполнить произвольный код на сервере без авторизации. Разработчики PHP оценили их в 9,2 балла по шкале CVSS v4.0, исправленные версии вышли 21 октября.
Кто под угрозой
Под угрозой любая установка PHP, которая обслуживает веб-запросы: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP. Наибольшему риску подвержены интернет-доступные системы с Apache mod_php.
По данным Amazon Threat Intelligence, первую попытку эксплуатации зафиксировали ещё 17 октября — за четыре дня до публичного раскрытия. Amazon рекомендует начинать расследование не с даты раскрытия, а с 17 октября.
Как развивается атака и чем её закрыть
Инженеры Green Light выделяют три этапа атаки и меры защиты на каждом из них.
Разведка и сканирование. Сканеры и ботнеты в автоматическом режиме сканируют публичные IP-адреса. Защита: WAF с гео-блокировкой, ограничением количества запросов и сигнатурным анализом трафика, а также вывод административных панелей под VPN и ограничение доступа по разрешённым спискам IP — особенно для систем на PHP 7.x, где готовых обновлений нет.
Эксплуатация уязвимости. Злоумышленник отправляет специально сформированные HTTP POST-запросы к PHP-скриптам и выполняет произвольный код от имени веб-сервера. Защита: обновить сигнатуры и применить IPS на NGFW (Palo Alto, Check Point, Fortinet и другие), чтобы заблокировать попытки атак до установки патчей, и обновить PHP до последних версий с обязательным перезапуском служб php-fpm, httpd.
Закрепление и пост-эксплуатация. Запуск команд ОС (sh, bash, curl, wget) от системного пользователя веб-сервера и внедрение веб-шеллов для сохранения доступа. Защита: EDR/XDR для поиска и блокировки аномальных процессов и подозрительной сетевой активности, SIEM и аудит логов с 17 октября для выявления новых нетипичных .php-файлов и подозрительных команд.
Если обновить серверы сразу нельзя
Бюллетени PHP предлагают временные меры для каждой из уязвимостей, а CERT-EU рекомендует изолировать доступные из интернета приложения от публичных сетей до установки и проверки исправления. Временные меры снижают риск, но не делают установку безопасной: единственное полное исправление — обновление.
Чек-лист для ИТ- и ИБ-служб
Мы собрали чек-лист: цепочка атаки, меры защиты на каждом этапе, 6 пунктов проверки и временные меры из официального бюллетеня PHP. Скачать чек-лист.
Если остались вопросы по защите, специалисты Green Light проконсультируют вас.
Источники: CERT-EU, бюллетень PHP по CVE-2026-109618, бюллетень PHP по CVE-2026-109619, Tenable.