21 октября 2026 года вышли обновления PHP, устраняющие две критические уязвимости PHP2Shell, которые позволяют злоумышленникам удаленно выполнять код без аутентификации. Обе получили оценку 9,2 балла из 10 по CVSS v4.0, что указывает на высокую степень опасности. PHP используется примерно на 70% всех сайтов, поэтому администраторам рекомендовали как можно скорее установить исправления для защиты от атак.
Число попыток эксплуатации достигло миллионов
Генеральный директор Cloudflare Matthew Prince сообщил, что за 10 часов до публичного раскрытия уязвимостей сеть Cloudflare зафиксировала тысячи попыток их эксплуатации. За первые 45 минут после публикации их число выросло до десятков тысяч, а за два часа – до сотен тысяч. К 21:25 по времени Нью-Йорка (04:25 по московскому времени 22 октября) счет шел уже на миллионы.
Matthew Prince о попытках эксплуатации PHP2Shell в сети Cloudflare. Изображение: X
Такая активность показывает, насколько серьезна угроза и почему администраторам сайтов необходимо немедленно установить исправления, если они еще этого не сделали. Если обновиться сразу нельзя, Национальный центр кибербезопасности Великобритании (NCSC) советует применить временные меры защиты от команды PHP, а если и это невозможно или займет слишком много времени – отключить систему, пока уязвимости не будут полностью устранены.
Рекомендации Google Cloud и временное отключение сайтов
После раскрытия уязвимостей Google Cloud опубликовала рекомендации для пользователей. Сама платформа уязвимостям не подвержена, но приложения на PHP, запущенные в Google Cloud, могут быть уязвимы, поэтому компания призвала обновить их до исправленной версии PHP и заново развернуть. Необходимые действия зависят от используемых сервисов Google Cloud Platform (GCP): например, в стандартной среде App Engine поддерживаемые версии PHP обновляются автоматически, а в гибкой среде App Engine, Cloud Run и Google Kubernetes Engine приложения нужно пересобрать или заново развернуть. Администраторам следует ознакомиться с инструкциями для своей конфигурации.
Многие сайты последовали таким рекомендациям и временно отключились на время установки обновлений.
Мы обновили PHP на серверах Comss.ru 21 октября – почти сразу, как исправленная сборка стала доступна в дистрибутиве, примерно через час после выхода исправлений. Сайт при этом не отключался. Признаков эксплуатации PHP2Shell в журналах серверов мы не обнаружили.
Какие версии PHP содержат исправления
Если ваши системы могут быть затронуты, необходимо обновиться до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Ссылки на исходный код и готовые сборки для Windows, а также порядок обновления в Linux собраны в нашей статье о выходе исправлений. Разработчики дистрибутивов Linux и поставщики версий с длительной поддержкой (LTS) получили исправления заранее, поэтому администраторам сайтов на Linux также следует установить доступные обновления системы. PHP 8.1 и более старые версии исправлений от команды PHP не получили – пользователям этих веток необходимо без промедления перейти на поддерживаемую версию.
