PHP2Shell: критические уязвимости в PHP вынудили выпустить экстренные обновления

Из-за двух критических уязвимостей в языке сценариев PHP команда PHP в среду, 21 октября, выпустила экстренные обновления. Агентство кибербезопасности США CISA призвало операторов немедленно обновить системы или отключить их от сети.

Уязвимости CVE-2026-109618 и CVE-2026-109619, получившие название PHP2Shell, по данным CISA, позволяют выполнять произвольный код удалённо без аутентификации. То есть злоумышленники могут запускать собственный код на сервере без входа в систему. Уровень опасности по шкале CVSS составляет 9,2 при максимуме 10.

Бреши закрыты в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Тем, кто использует PHP 8.1 или более старую версию либо не может сразу обновиться, CISA рекомендует отключить системы от сети. Британский Национальный центр кибербезопасности (NCSC) даёт такую же рекомендацию для систем, которые нельзя сразу обновить.

Попытка атаки до раскрытия информации

По данным Amazon Threat Intelligence, подразделения по безопасности американского концерна, попытка воспользоваться уязвимостями была предпринята уже в субботу, 17 октября, то есть за четыре дня до их раскрытия.

Производитель сетевого оборудования Cisco сообщил в бюллетене по безопасности, касающемся его собственных продуктов, что его специалистам не известно о вредоносной эксплуатации уязвимостей. Временных обходных решений, по его словам, нет.

По данным газеты New York Times, операторы на всякий случай отключили многие сайты. Необновлённый сервер, как сообщается, можно было полностью захватить.

Около 69 процентов сайтов работают на PHP

Масштаб проблемы объясняется распространённостью языка. По данным аналитического сервиса W3Techs от 22 октября, PHP используется на 69,3 процента всех сайтов, у которых удаётся определить серверный язык. Одна лишь система управления контентом WordPress, построенная на PHP, составляет, по этим данным, около 40 процентов всех сайтов в мире.

PHP работает на сервере и формирует там HTML или другие данные, которые отправляются в браузер. Сам исходный код остаётся на сервере. Среди крупных пользователей — «Википедия» с её программным обеспечением MediaWiki, системы Drupal, Joomla и Magento, а также торговая платформа Etsy.

Язык вырос из личного инструмента. Датско-канадский программист Расмус Лердорф в 1994–1995 годах писал скрипты, чтобы считать посещения своей домашней страницы и обрабатывать формы. В июне 1995 года он опубликовал код под названием «Personal Home Page Tools». Сегодня PHP расшифровывается как «PHP: Hypertext Preprocessor».

Полноценным языком программирования PHP никогда не задумывался. Лердорф позже говорил, что просто каждый раз добавлял следующий практичный шаг. Поскольку PHP был прост в освоении и работал на недорогом веб-хостинге, он стал стандартом для динамических сайтов.

Многие сайты работают на старых версиях PHP

По данным W3Techs, около 65 процентов сайтов на PHP используют версию 8, 27 процентов — всё ещё PHP 7, а почти 8 процентов — PHP 5. Устаревшие установки с PHP 7 и более старыми версиями остаются угрозой безопасности.

По данным PHP Foundation, в настоящее время активно поддерживаются PHP 8.5 и 8.4, а PHP 8.3 и 8.2 получают только обновления безопасности. Более старые версии официальных обновлений больше не получают. Поддержка PHP 8.2 закончится в конце 2026 года, PHP 8.5 — в конце 2029 года. Следующая версия, PHP 8.6, запланирована на ноябрь.