21 октября 2026 г.
PHP2Shell: дыра в версиях PHP от 5.4 уже используется в атаках на сайты
Первые атаки зафиксированы 21.10.2026 в 07:43 UTC, за шесть с лишним часов до патча в 14:00 UTC. Две уязвимости с CVSS 9.2 ведут к удалённому выполнению кода, патчи вышли для PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
OpenAI
@openai
Модели OpenAI помогли исследователям найти критические дыры безопасности в PHP, открытом языке программирования, на котором, по оценкам, работает около 70% сайтов. Они работали в рамках нашей инициативы Patch the Planet. За последние два месяца мы возглавили коалицию из мейнтейнеров, исследователей и поставщиков безопасности, чтобы подготовить исправления и защиту до раскрытия. Срок понадобился, потому что исправление очень сложное и требует крупной переделки движка PHP. Теперь любой сайт на PHP может безопасно обновить версию и остаться защищённым, а также применить защитные меры от разных поставщиков безопасности. Из-за серьёзности этих дыр и широкого использования PHP мы считаем эту ошибку одной из самых значимых уязвимостей за последнее время. Это также знаменует новый этап, когда ИИ может находить баги безопасности с влиянием на весь интернет. Это пример «Окна защитников» в действии: насколько нам известно, передовой ИИ нашёл эту уязвимость раньше атакующих, и у защитников появилось время подготовиться.
· 215,4 тыс. просмотров
Срок понадобился из-за самой дыры: правка требовала крупной переделки движка PHP. Исследователи, мейнтейнеры и поставщики защиты два месяца готовили исправления до раскрытия, но публичный эксплойт PHP2Shell уже доступен, и первые атаки пришли до выхода заплат.
Кто под ударом. Уязвимы версии PHP от 5.4.0, и каждая версия за последнее десятилетие задета хотя бы одной из двух дыр, по данным Wiz. Официальные патчи выходят только для веток 8.2 и новее, по данным Sansec: для версий ниже 8.2 официального патча нет. Выше всего риск у mod_php, где по данным PHP демонстрирован эксплойт без аутентификации. Sansec подтвердил уязвимость на WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4 и Magento 2.4.9.
Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.
Что делать. Обновить PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35. По данным Imperva, до обновления можно отключить opcache.enable = 0 и session.upload_progress.enabled = 0 в php.ini, а Sansec советует блокировать multipart/form-data на уровне nginx или Apache. Вендор предупреждает, что эти меры не заменяют патч.
Wiz и Cryptobriefing называют разные даты начала работ: 19 августа и 1 августа.
Первоисточник