Исследователи сообщили о двух уязвимостях удаленного выполнения кода — CVE-2026-109618 и CVE-2026-109619, получивших название PHP2Shell. Команда PHP оценила две критические проблемы в 9,2 балла по CVSS v4.0. Уже появились сообщения о первых атаках: об их обнаружении заявил CTO Cloudflare, сообщает Reuters.
Официальный выпуск исправлений запланирован на 21 октября, 17:00 МСК. Точный перечень затронутых и исправленных версий разработчики должны опубликовать вместе с обновлением.
«Гарда WAF» обеспечивает дополнительную защиту веб-приложений и API. Анализ трафика, выявление аномалий и настройка правил фильтрации позволяют минимизировать риски атак, в том числе на ранее неизвестные уязвимости. Компенсирующие меры на уровне WAF особенно актуальны до установки патчей, но не заменяют обновление PHP.
По предварительной оценке GMO Flatt Security, PHP2Shell связан с обработкой сессий и механизмом Session Upload Progress в ext/session. В качестве частичной меры обсуждается отключение функции:
session.upload_progress.enabled = Off
Одной этой настройки недостаточно. По оценке исследователей, после ее изменения эксплуатация может оставаться возможной. Считать сервер защищенным только на основании отключения функции нельзя.
Рекомендуем проверить используемые версии PHP, подготовить установку исправлений и усилить мониторинг веб-приложений. Для проверки настроек «Гарда WAF» и применимости защитных правил к PHP2Shell обратитесь в техническую поддержку.
Официальное уведомление PHP
