Для двух критических уязвимостей PHP уже появились готовые инструменты эксплуатации, хотя разработчики ещё не выпустили исправления. Ошибки с оценкой 9,2 балла позволяют, по оценкам исследователей, удалённо выполнять команды на веб-серверах. Под угрозой могут оказаться даже сайты на старых версиях PHP.
Команда PHP назначила экстренное обновление на 21 октября 2026 года, 14:00 UTC (17:00 мск). Исправления закроют две уязвимости с оценкой 9,2 по шкале CVSS 4.0. Технические подробности разработчики пока не раскрывают, однако сведения об ошибках просочились в интернет раньше согласованного срока, а исследователи уже продемонстрировали предполагаемые способы атаки.
Уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619. Специалисты watchTowr подтвердили существование обеих проблем и заявили, что смогли воспроизвести CVE-2026-109618. По предварительным сведениям, ошибки позволяют добиться удалённого выполнения кода (RCE) без предварительной авторизации. Официальный перечень затронутых версий PHP пока отсутствует.
В сети также распространяется демонстрация инструмента PHP2Shell, приписываемого исследователям Calif.IO. На видеозаписи показан предполагаемый запуск команд на серверах с WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS. Демонстрация охватывает как Apache с модулем PHP, так и конфигурации PHP-FPM. Однако независимой проверки всех показанных сценариев пока нет, поэтому универсальность эксплойта остаётся неподтверждённой.
Отдельный исследователь под псевдонимом J4ck3LSyN опубликовал проект PHP-UP-2026 с исходным кодом на Python, демонстрационными сценариями и готовым архивом инструментов. Автор утверждает, что подготовил рабочие цепочки эксплуатации обеих уязвимостей и проверил часть механизмов в лабораторных условиях. В комплект входят отдельные прототипы для CVE-2026-109618 и CVE-2026-109619, а также программа для подготовки запросов под конкретные сборки PHP.
По версии J4ck3LSyN, проблема затрагивает механизм session.upload_progress, который отслеживает ход загрузки файлов через веб-формы. Обработчик PHP сохраняет указатели на структуры в оперативной памяти, но при обновлении данных пользовательской сессии связанные участки могут освобождаться. Последующее обращение к прежним адресам создаёт ошибку класса use-after-free, когда программа продолжает работать с памятью, уже выделенной для других целей.
В предполагаемом сценарии атаки специально сформированный HTTP-запрос заставляет PHP повторно обработать данные сессии и обратиться к освобождённой памяти. Если злоумышленнику удастся разместить там подготовленные структуры, дальнейшее выполнение программы можно перенаправить к системной функции. Автор PHP-UP-2026 утверждает, что таким способом удаётся запускать команды через system(), однако официального подтверждения именно такого механизма эксплуатации пока нет.
Исследователь приводит результаты анализа исходного кода PHP 8.4.4 и 8.2.34, а также сведения о различиях между сборками LiteSpeed PHP 8.2.34 для Debian и Ubuntu. Инструментарий учитывает расположение внутренних функций в памяти, которое зависит от конкретной сборки. Сам автор характеризует проект как пригодный для лабораторной эксплуатации, но опубликованные материалы ещё не доказывают, что готовый эксплойт одинаково работает против любых серверов PHP.
Независимую техническую оценку провели и специалисты GMO Flatt Security. На основании собственного анализа исследователи также предполагают связь уязвимостей с обработкой пользовательских сессий и функцией Session Upload Progress. Механизм включён в стандартной конфигурации PHP, поэтому потенциальная проблема не обязательно ограничивается приложениями, которые самостоятельно используют отслеживание загрузки файлов.
Самый тревожный вопрос касается масштаба угрозы. Предварительные сведения указывают на возможную уязвимость PHP начиная с версии 5.4, хотя разработчики ещё не подтвердили диапазон затронутых выпусков. Если предположение подтвердится, проблема затронет не только современные сайты, но и давно не обновлявшиеся серверы. Через PHP работают многочисленные интернет-магазины, корпоративные приложения и популярные системы управления содержимым.
Особенно сложная ситуация складывается с устаревшими версиями языка. Согласно официальному графику, команда PHP поддерживает только ветки 8.2, 8.3, 8.4 и 8.5. Более ранние версии уже завершили жизненный цикл и не получают стандартных исправлений от разработчиков. Владельцам подобных серверов придётся переходить на поддерживаемую ветку либо рассчитывать на отдельные обновления от поставщиков операционной системы.
До выхода исправлений специалисты предлагают временно отключить session.upload_progress.enabled, установив значение Off в конфигурации PHP. Подобная мера может перекрыть предполагаемый путь эксплуатации через обработчик загрузок, но не гарантирует защиты от обеих ошибок. Автор PHP-UP-2026 допускает существование второго сценария, связанного непосредственно с обработкой multipart/form-data, то есть HTTP-запросов, используемых для передачи файлов.
Администраторам рекомендуют заранее проверить версии PHP на всех серверах, подготовить резервные копии и согласовать установку обновлений с хостинг-провайдерами. Для особо важных публичных приложений CERT-EU предлагает рассмотреть временную изоляцию от интернета, если оперативно установить исправление невозможно. Простое обновление WordPress, Magento или другой системы управления сайтом не заменит исправление самого интерпретатора PHP.
Риск массовых атак оценивают достаточно серьёзно. Специалисты Sansec прогнозируют начало автоматизированной эксплуатации уже в первые 15 минут после публикации исправлений. Подобный сценарий объясняется тем, что раскрытие технических подробностей позволит атакующим быстрее создавать собственные инструменты. Однако прогноз остаётся оценкой исследователей, а не подтверждением уже начавшихся атак.
По состоянию на 21 октября компания Huntress не обнаружила эксплуатации новых уязвимостей в наблюдаемой инфраструктуре своих клиентов. Команда PHP предупредила, что может выпустить патчи раньше назначенного времени при появлении новых технических подробностей или признаков реальных атак. Окончательные выводы о затронутых версиях, механизме эксплуатации и эффективности опубликованных инструментов можно будет сделать после официального раскрытия ошибок.
