← Все новости

Безопасность ·

PHP2Shell: критические RCE в PHP уже эксплуатируются, CISA внесла их в KEVPHP2Shell: critical PHP RCE flaws now exploited in the wild, added to CISA KEV

Две уязвимости PHP с оценкой CVSS 9.2 позволяют выполнить код без аутентификации почти на любом PHP начиная с 5.4. Патчи вышли 21 октября, к 24-му зафиксированы успешные атаки, 26-го CISA добавила обе CVE в каталог эксплуатируемых.Two PHP flaws rated CVSS 9.2 allow unauthenticated code execution on nearly every PHP version since 5.4. Patches shipped Oct 21, successful attacks were confirmed by Oct 24, and CISA added both CVEs to its exploited catalog on Oct 26.

Уязвимости CVE-2026-109618 (повреждение памяти при нехватке памяти) и CVE-2026-109619 (use-after-free через состояние session upload progress между запросами) получили от проекта PHP оценку CVSS 4.0 9.2. Затронут любой SAPI, обслуживающий веб-запросы: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed. Опаснее всего mod_php — эксплойт срабатывает до того, как выполнится код приложения.

Хронология

  • 20 октября — PHP анонсировал релиз; в сеть по ошибке утекло видео с рабочим PoC.
  • 21 октября — вышли PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Попытки эксплуатации появились примерно через 20 минут.
  • 24 октября — в ханипотах зафиксирован первый подтверждённый успешный RCE (mod_php на 8.4.26).
  • 26 октября — CISA добавила обе CVE в KEV.

Отдельно PHP предупредил о ещё не исправленной CVE-2026-115560, тоже связанной с session upload progress.

Что делать

  • Обновить сам рантайм PHP и перезапустить воркеры — обновление CMS или плагинов не помогает. Пересобрать образы.
  • В дистрибутивах фикс может прийти под старым номером версии — ищите CVE в changelog пакета.
  • Ветки 8.1 и старше официальных исправлений не получат.
  • Временно: session.upload_progress.enabled=0, ограничить размер запросов на прокси, держать WAF в режиме блокировки.

CVE-2026-109618 (memory corruption on out-of-memory) and CVE-2026-109619 (use-after-free via session upload progress state across requests) are rated CVSS 4.0 9.2 by the PHP project. Any SAPI serving web requests is affected: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed. mod_php is the worst case — the exploit fires before any application code runs.

Timeline

  • Oct 20 — PHP pre-announced the release; a working PoC video leaked by mistake.
  • Oct 21 — PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 shipped. Exploit attempts appeared within about 20 minutes.
  • Oct 24 — first confirmed successful RCE seen in honeypots (mod_php on 8.4.26).
  • Oct 26 — CISA added both CVEs to KEV.

PHP also warned about a separate, still unpatched CVE-2026-115560, likewise tied to session upload progress.

What to do

  • Upgrade the PHP runtime itself and restart workers — updating your CMS or plugins does not help. Rebuild images.
  • Distro packages may ship the fix under an old version number — look for the CVE IDs in the changelog.
  • 8.1 and older will not receive official fixes.
  • Interim: session.upload_progress.enabled=0, cap request size at the proxy, keep the WAF in blocking mode.

Источники