Критичні вразливості в PHP змусили сайти екстрено вимикати сервери

21 жовтня 2026 року через виявлення критичних дірок у ядрі PHP низка великих мережевих ресурсів тимчасово припинила роботу. Адміністратори вимкнули сервіси, серед яких Internet Archive, реєстратор BookMyName та реєстр національної доменної зони .de, заради ручного встановлення патчів до початку масових атак.

Вразливості отримали спільну назву PHP2Shell та ідентифікатори CVE-2026-109618 і CVE-2026-109619 з оцінкою небезпеки 9.2 за шкалою CVSS. Як повідомили в CERT-EU та компанії Wiz, витік технічних подробиць стався раніше запланованого релізу виправлень. За оцінкою аналітиків Sansec, автоматизоване сканування та спроби експлуатації очікувалися вже через 15 хвилин після публікації коду латок.

Обидві проблеми пов'язані з помилками керування пам'яттю. Перша, CVE-2026-109618, виникає при вичерпанні пам'яті: обробник через виклик longjmp перериває роботу інтерпретатора, коли внутрішні структури запиту ініціалізовані лише частково. Під час подальшого завершення система звертається до неініціалізованої пам'яті. Основним вектором атаки названо надсилання специфічних multipart-запитів із великою кількістю заголовків без поля Content-Length.

Друга вразливість, CVE-2026-109619, полягає у зверненні до пам'яті після її звільнення (use-after-free). Якщо запит обривається через помилку або таймаут, глобальний стан процесу не скидається повністю, залишаючи активні вказівники на очищені ділянки. Наступний запит у тому ж робочому процесі може звернутися до цих даних. Ризик стосується практично всіх популярних конфігурацій: Apache mod_php, PHP-FPM, php-cgi, FrankenPHP та LiteSpeed, причому підтверджений експлойт насамперед зачіпає mod_php.

Команда розробників випустила офіційні оновлення PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35, а також підготувала виправлення для застарілих гілок PHP 7.4, PHP 8.0 і PHP 8.1. Автори наголосили, що надійних обхідних шляхів немає: захистити систему можна виключно встановленням оновлених пакетів.

Джерело: habr

Першоджерело: PHP