PHP2Shell: две RCE-уязвимости позволят выполнить код без аутентификации

Две RCE-уязвимости в PHP позволяют выполнить код без аутентификации

PHP выпустила обновления безопасности для устранения двух критических уязвимостей удаленного выполнения кода (RCE). Уязвимости получили названия PHP2Shell. Их эксплуатация позволяет злоумышленникам выполнять произвольный код на сервере без необходимости аутентификации. Информация об уязвимостях просочилась в сеть до официального анонса, что вызвало срочные меры по планированию защиты.

PHP обрабатывает запросы и управляет состоянием

PHP — это интерпретируемый язык программирования с открытым исходным кодом, широко используемый для веб-разработки. Он работает на стороне сервера, генерируя HTML-код, который затем отправляется клиенту. Уязвимости CVE-2026-109618 и CVE-2026-109619 связаны с механизмами обработки ошибок и управлением состоянием внутри PHP. Первая уязвимость, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w), возникает из-за некорректной обработки ошибок нехватки памяти (Out-of-Memory). Это может привести к частичной инициализации внутренних данных запроса. При последующей очистке запроса эти неполные данные могут быть интерпретированы как валидные. Вторая уязвимость, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp), связана с устаревшим глобальным состоянием. Внутреннее состояние, принадлежащее запросу, может сохраниться после освобождения его памяти. Последующий запрос, обрабатываемый тем же рабочим процессом, может использовать это устаревшее состояние до его полной инициализации.

Обновиться до 8.2.35, 8.3.36, 8.4.27 или 8.5.12

Уязвимости затрагивают версии PHP ниже 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Более старые версии, такие как PHP 8.1 и предыдущие, больше не получают официальных обновлений безопасности от разработчиков. Исправленные версии включают PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Исследователи VulnCheck смогли воспроизвести эксплуатацию CVE-2026-109618 и CVE-2026-109619. Они отмечают, что уязвимости успешно эксплуатируются для RCE на системах ARM64 и x86 без включенного ASLR (Address Space Layout Randomization). ASLR может снизить площадь атаки. На GitHub появилось множество примеров кода для эксплуатации (Proof-of-Concept), но лишь немногие содержат корректный механизм эксплойта. Эксперты ожидают массовые попытки эксплуатации, независимо от работоспособности предоставленного кода. По данным VulnCheck, около 2,6 миллиона интернет-серверов используют уязвимые или предположительно уязвимые версии PHP. Значительная часть (более 1,1 миллиона хостов) работает на устаревших версиях PHP, которые больше не поддерживаются и не получают исправлений.

Применить патчи или использовать обходные пути

Разработчики PHP выпустили исправления для уязвимостей. Пользователям рекомендуется как можно скорее обновить свои PHP-установки до версий 8.2.35, 8.3.36, 8.4.27 или 8.5.12. Для тех, кто не может немедленно применить обновления, PHP предлагает следующие временные меры: установить memory_limit=-1 в конфигурации PHP (например, через php_admin_value в пуле FPM или конфигурации Apache), чтобы избежать переопределения приложениями. Установить низкое значение post_max_size (8 МБ для приложений без загрузки файлов, 32 МБ для приложений с загрузкой файлов) и upload_max_filesize ниже post_max_size. Рассмотреть возможность ограничения размера декодированного запроса, количества полей, заголовков и глубины вложенности на уровне веб-сервера или прокси. Использовать лимиты контейнеров или cgroups для ограничения ресурсов, желательно с политикой, которая завершает только затронутый рабочий процесс. Установить session.upload_progress.enabled=0 и перезапустить все рабочие процессы. На PHP 8.5 установить fatal_error_backtraces=0 и перезапустить все рабочие процессы. Исправить ошибки, приводящие к фатальным сбоям, и тайм-ауты выполнения, включая сбои в обратных вызовах и обработке загрузки/импорта. Эксперты VulnCheck зафиксировали сканирование уязвимости с использованием пользовательского агента php2shell-scan/109618, нацеленное на CVE-2026-109618. Также наблюдались попытки эксплуатации из Китая с целью внедрения веб-оболочки через файл сессии сервера.