21 октября 2026 года PHP выпустил исправления двух критических уязвимостей, известных как PHP2Shell: CVE-2026-109618 и CVE-2026-109619. При определённых условиях они позволяют выполнить код без входа в аккаунт. 23 октября разработчики опубликовали отдельное предупреждение о CVE-2026-115560. Владельцу сайта нужно проверить исправления веб-обработчика и состояние самого проекта.
Какие события подтверждены
| Дата | Что сообщили | Источник |
|---|---|---|
| 17 октября | Дата попытки эксплуатации, позднее найденной в телеметрии MadPot | Amazon Threat Intelligence |
| 21 октября | Выпуск исправлений двух критических CVE и рекомендация обновиться | PHP |
| 23 октября | Отдельное предупреждение о session upload progress | PHP |
AWS описала попытки атак на датчики MadPot до публичного раскрытия и дальнейшее использование опубликованных подходов. Эта телеметрия подтверждает активность атакующих. Она не устанавливает взлом конкретного магазина или число успешно заражённых сайтов.
Где искать исправления
Для CVE-2026-109618 и CVE-2026-109619 первые исправленные выпуски PHP — 8.2.35, 8.3.36, 8.4.27 и 8.5.12. У Linux-дистрибутива исправление может быть перенесено в его собственный пакет. Поэтому проверяйте бюллетень поставщика и установленную сборку, а не только короткую строку версии.
PHP 8.1 и более старые ветки вышли из штатной поддержки проекта PHP. Доступность исправлений поставщика и исправлений для исходного кода старых веток нужно уточнять отдельно; это не возвращает старой ветке обычную поддержку. План перехода составляют с учётом совместимости CMS и модулей.
Предупреждение от 23 октября относится к CVE-2026-115560 и необычному сочетанию настройки сессии и её изменения кодом приложения. Релизы от 21 октября не устраняют этот отдельный риск. В сообщении PHP описана временная мера для session upload progress. Её применимость и влияние на функции проекта проверяет администратор.
Что проверить владельцу сайта
- Уточните, где используется PHP: домены, панели, контейнеры, фоновые задания. Сверьте веб-обработчик и CLI.
- Получите от хостера сведения о применённых исправлениях и затронутых процессах.
- Сохраните доступные журналы и проверьте неизвестные файлы, учётные записи, процессы и задания.
- Подготовьте совместимое обновление на копии и согласуйте запуск. Порядок есть в инструкции для Битрикс.
- При признаках компрометации проведите очистку, проверку доступов и дальнейшее наблюдение.
Учебная ситуация: после исправления PHP сайт открывается, но в каталоге остаются посторонние файлы. Интерпретатор уже обновлён, а последствия прежнего доступа ещё требуют устранения. Для такого случая нужен план восстановления взломанного сайта.
Какие подтверждения запросить у исполнителя
В отчёте полезны перечень обработчиков и пакетов, применённые рекомендации, время переключения, проверенные функции и найденные следы компрометации. Формулировка «обновили PHP» без указания конкретной установки не объясняет состояние остальных сайтов сервера.
Для срочного обновления PHP и восстановления сайта подготовьте адреса, сообщение хостинга, версии компонентов и сведения о копии. Код эксплуатации и секретные доступы для первичного обращения не нужны.
