Описание уязвимостей
21 октября 2026 года PHP выпустил критические исправления для двух RCE-дефектов в ядре. Оба получили оценку CVSS 9,2. Выпуск был ускорен после того, как подробности об уязвимостях утекли в публичное пространство раньше официального анонса.
Проблема выявилась, когда пользователь Hacker News описал два RCE-дефекта, затрагивающие все версии PHP с 5.4.0. Вскоре после этого исследователи подтвердили уязвимости, и в сети появился эксплойт с названием PHP2Shell. Демонстрация показывает его работу на WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS. Подлинность демонстрации независимо не подтверждена.
Техническая природа дефектов
Уязвимости коренятся в обработке multipart/form-data вместе с механизмом сессионного прогресса загрузки (session.upload_progress) в PHP. Оба дефекта относятся к классам Use-After-Free и повреждения памяти, что означает: исправление невозможно на уровне приложения. Требуется обновление PHP на сервере.
Атака не требует аутентификации. Любой, кто имеет сетевой доступ к PHP-приложению, может запустить код от имени процесса PHP без входа в систему.
Затронутые версии
Уязвимости присутствуют в PHP 5, 6, 7 и 8. Активно поддерживаются ветки от 8.2 до 8.5. Версии 8.1, 8.0, 7.x и 5.x вышли из жизненного цикла, но из-за критичности дефектов бэкпорт-патчи выпущены также для 7.4, 8.0 и 8.1.
Действия до выхода патча
Специалисты предполагают массовую эксплуатацию в течение 15 минут после выхода обновления. Администраторам рекомендуется:
Провести инвентаризацию всех PHP-систем в инфраструктуре: веб-серверы, панели управления, стороннее ПО. Отключить upload-progress через директиву session.upload_progress.enabled = Off в пулах PHP-FPM. Заблокировать multipart-запросы на nginx и Apache. Рассмотреть временную изоляцию интернет-приложений до выхода исправлений. Подготовиться к немедленной установке патча. Спланировать миграцию на актуальную версию PHP для серверов с неподдерживаемыми версиями.
Обнаружение атак
При попытке эксплуатации Kaspersky Endpoint Detection and Response Expert выявляет подозрительные действия в контексте веб-сервера на Linux и Windows по следующим сигнатурам: creating_windows_shell_from_a_web_servers_process, possible_web_shell_creating_via_exploit, spawning_process_from_webserver_more_filters_linux, webserver_interpreter_execution_linux, executable_file_in_www_folder.
В сетевом трафике эксплуатация обнаруживается решениями Kaspersky Anti Targeted Attack с модулем NDR и Kaspersky NGFW с вердиктами Exploit.CVE-2026-109618.HTTP.C&C и Exploit.CVE-2026-109619.HTTP.C&C.
Kaspersky Endpoint Security детектирует постэксплуатационную активность через Behavior Detection как PDM:Exploit.Linux.Generic и PDM:Exploit.Win32.Generic.
