php2shell: сайт на PHP можно взломать без пароля, уязвимы все версии с 5.4

Прежде такую находку делала бы команда мирового уровня за месяцы, пишут авторы разбора. 21.10.2026 php.net закрыл сразу две критические уязвимости, по 9,2 из 10 по шкале серьёзности, и обе дают удалённое исполнение кода без пароля.

Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.

Обновляться, и только. Полных обходных мер нет, так прямо и сказано в бюллетене php.net. Патчи вышли для PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а старые ветки 7.4, 8.0 и 8.1 получили минимальные source-бэкпорты в php-src. Уязвима каждая версия начиная с 5.4, включая дефолтные образы WordPress, Drupal и Joomla.

Если обновиться сейчас нельзя, php.net перечисляет частичные меры: memory_limit=-1, низкий post_max_size, session.upload_progress.enabled=0, на PHP 8.5 ещё fatal_error_backtraces=0. Они закрывают отдельные пути атаки, но безопасной установку не делают. Выше всего риск у Apache с mod_php, где запрос без авторизации срабатывает раньше кода приложения.

Логи смотреть с 17.10. Amazon Threat Intelligence засекла попытку эксплуатации 17.10.2026 на своей сети-ловушке MadPot, за четыре дня до патча. Amazon советует искать подозрительную активность с этой даты, а не с дня публичного раскрытия.

CISA внесла php2shell в каталог активно эксплуатируемых уязвимостей и дала гражданским федеральным агентствам США срок до 29.10.2026. За пять дней до этого агентство сообщало, что эксплуатации не видит.

Защита за таким темпом не успевает. Патч ИИ напишет быстро, а проверка, тест и согласование выкладки между организациями идут человеческим временем, говорит Цзюньфэн Ян, профессор Колумбийского университета.

PHP 8.2 уходит с поддержки 31.12.2026: после этой даты ветка security-фиксов не получит.