Критические уязвимости PHP 8.2: как PHP2Shell угрожает сайтам и серверам

30 октября 2026 года | IT-Новости | AT Line Security

Представьте ситуацию: ваш сайт работает стабильно, программный код регулярно проверяется, сервер защищён паролями, а доступ к административной панели ограничен.

Кажется, что всё под контролем.

Но что произойдёт, если опасная ошибка находится не в вашем сайте, а непосредственно в языке программирования, на котором он работает?

Именно с такой угрозой столкнулись владельцы PHP-серверов в октябре 2026 года.

21 октября команда разработчиков PHP выпустила срочные обновления, устраняющие две критические уязвимости — CVE-2026-109618 и CVE-2026-109619.

Эти ошибки получили общее название PHP2Shell.

Особую опасность представляет возможность удалённого выполнения кода без предварительной авторизации. В некоторых конфигурациях злоумышленнику достаточно специально сформированного HTTP-запроса, чтобы попытаться атаковать сервер до выполнения основного кода приложения.

Разбираемся, что произошло, насколько велика угроза, какие организации затронуты и почему владельцам сайтов нельзя откладывать обновление.

Что такое PHP2Shell?

PHP2Shell — название двух критических уязвимостей в механизмах обработки HTTP-запросов интерпретатором PHP.

В отличие от обычных ошибок веб-приложений, эти проблемы находятся внутри самого PHP.

Обеим присвоена оценка критичности 9,2 по шкале CVSS 4.0.

Уязвимости способны создавать условия для повреждения оперативной памяти и удалённого выполнения произвольного кода.

Для владельца сайта это означает потенциальную возможность компрометации серверного процесса, даже если разработчик не допустил привычных ошибок вроде SQL-инъекций.

Какие версии PHP оказались уязвимыми?

Проблема затрагивает не только PHP 8.2, но и другие ветки языка.

Следует учитывать, что поставщики операционных систем могут переносить исправления безопасности в собственные пакеты, сохраняя прежний номер версии PHP.

Поэтому наличие старой версии в выводе команды само по себе не всегда доказывает отсутствие исправления. Нужно проверять и информацию о сборке.

Уязвимость №1: CVE-2026-109618 — ошибка обработки памяти

Первая уязвимость связана с ситуацией, когда PHP не может выделить достаточный объём оперативной памяти для обработки запроса.

Во время обработки входящих данных некоторые внутренние структуры могут оказаться частично инициализированными.

При возникновении ошибки нехватки памяти обработка прерывается.

Однако процедура очистки может ошибочно обращаться к некорректным данным.

В результате возникает повреждение памяти, которое в определённых условиях может использовать злоумышленник.

Пример уязвимости простыми словами

Представим сайт интернет-магазина, который принимает данные через HTTP-запросы.

Злоумышленник отправляет специально сформированный запрос, способный вызвать сбой при обработке данных PHP.

Вместо безопасного прекращения работы обработчика возникает ошибка управления памятью.

При благоприятных для атакующего условиях это может привести к выполнению несанкционированного кода.

Особенность проблемы: атака направлена не на уязвимую бизнес-логику магазина, а на низкоуровневый механизм обработки запроса.

Это упрощённое описание принципа. Оно не является готовым способом эксплуатации уязвимости.

Уязвимость №2: CVE-2026-109619 — повторное использование освобождённой памяти

Вторая ошибка связана с сохранением внутренних ссылок на данные, память под которые уже освобождена.

Такая проблема известна как использование устаревшего состояния памяти.

PHP обрабатывает запрос, создаёт служебные структуры и использует их для выполнения внутренних операций.

В некоторых обстоятельствах, например после аварийного завершения обработки, часть состояния может сохраниться.

Следующий запрос, попавший к тому же серверному процессу, потенциально способен обратиться к некорректным данным.

Это создаёт условия для повреждения памяти и удалённого выполнения кода.

Опасность особенно велика в окружениях, где один серверный процесс обрабатывает последовательные запросы и сохраняет определённое внутреннее состояние между ними.

Какие последствия может вызвать успешная атака?

Потенциальные последствия зависят от конфигурации сервера, прав PHP-процесса и дополнительных механизмов защиты.

1. Выполнение команд на сервере

Злоумышленник может получить возможность запускать код с правами скомпрометированного серверного процесса.

2. Утечка конфиденциальных данных

Под угрозой могут оказаться пароли, токены API, конфигурационные файлы, персональные данные и другая информация, доступная процессу.

3. Компрометация базы данных

Если серверный процесс имеет доступ к учётным данным MySQL или другой СУБД, атакующий потенциально сможет использовать эти полномочия.

4. Подмена содержимого сайта

При наличии соответствующих прав возможны несанкционированные изменения файлов, страниц или функциональности веб-приложения.

5. Нарушение доступности

Ошибки обработки памяти могут приводить к аварийному завершению процессов и перебоям в работе сайта.

6. Дальнейшее проникновение в инфраструктуру

После первоначального доступа атакующий может попытаться использовать обнаруженные на сервере учётные данные или другие недостатки безопасности.

Важно: это возможные последствия успешной эксплуатации. Они не означают, что все уязвимые сайты уже были взломаны.

Были ли реальные атаки?

Да. К 26 октября 2026 года появились подтверждения успешного использования PHP2Shell в контролируемой исследовательской среде.

Специалист по обнаружению угроз Adel Karimi сообщил о результатах наблюдения за специально подготовленными серверами-приманками.

Исследователи зафиксировали успешное удалённое выполнение кода на сервере Apache с mod_php и PHP 8.4.26.

Также были обнаружены признаки раскрытия данных оперативной памяти.

Это подтвердило, что уязвимость представляет не только теоретический риск.

Однако такой эксперимент нельзя автоматически приравнивать к успешному взлому производственных серверов конкретной компании.

Какие компании пострадали от PHP2Shell?

Это один из важнейших вопросов.

На 30 октября 2026 года публичные данные позволяют уверенно назвать производителей, обнаруживших затронутые продукты, но не дают оснований утверждать, что каждый из них подвергся успешному взлому.

Plesk

Компания Plesk сообщила, что поставляемые с её панелью управления версии PHP также затронуты уязвимостями.

Для администратора это означает необходимость проверить версии PHP, используемые сайтами в панели управления.

Само по себе использование Plesk не означает взлом.

PTC

Компания PTC проверила свои программные продукты и инфраструктуру.

По её сообщению, PHP используется в продуктах ServiceMax и Pure Variants. Оба продукта были обновлены до исправленных версий PHP.

Остальные проверенные продукты получили соответствующие оценки безопасности.

Siemens, Schneider Electric, ABB и другие производители

После публикации PHP2Shell крупнейшие производители промышленных систем начали анализировать последствия для своих продуктов.

Среди компаний, выпустивших предупреждения, — Siemens, Schneider Electric, ABB, Rockwell Automation и Johnson Controls.

Часть производителей подтвердила наличие затронутых компонентов, другие продолжили проверку или сообщили об отсутствии воздействия на определённые продукты.

Это важно, поскольку PHP применяется не только на обычных сайтах, но и во встроенных веб-интерфейсах промышленного оборудования.

Quantum

Компания Quantum сообщила, что компоненты управления некоторых систем Xcellis, QBSP и Myriad содержат затронутые версии PHP.

При этом производитель уточнил, что непосредственно файловая система StorNext, её канал передачи данных и клиенты StorNext не затронуты описанной проблемой.

Google Cloud

Google Cloud опубликовала отдельные рекомендации для пользователей PHP-приложений.

При этом компания заявила, что сама платформа Google Cloud не является уязвимой из-за обнаруженной проблемы, хотя размещённые на ней приложения клиентов могут использовать затронутые версии PHP.

Были ли массовые утечки данных?

На момент подготовки статьи нельзя достоверно назвать число скомпрометированных коммерческих сайтов и объём похищенных данных именно вследствие PHP2Shell.

Публикации об уязвимых продуктах и предупреждения производителей не следует воспринимать как подтверждённые сообщения об успешных атаках на эти компании.

Почему под угрозой WordPress, интернет-магазины и корпоративные сайты?

Огромное количество веб-проектов используют PHP на серверной стороне.

Среди них WordPress, WooCommerce, Joomla, Drupal, 1С-Битрикс, Laravel, Symfony и множество индивидуальных систем.

Поскольку PHP2Shell затрагивает сам интерпретатор языка, проблемы потенциально могут проявляться независимо от используемой CMS.

При этом нельзя утверждать, что каждая установка WordPress или Битрикс24 обязательно поддаётся удалённому выполнению кода.

Реальная эксплуатируемость зависит от версии PHP, способа запуска, конфигурации и защитных механизмов.

Особая опасность Apache с mod_php

Разработчики PHP выделяют конфигурацию Apache mod_php как одну из наиболее опасных.

Для неё была продемонстрирована возможность эксплуатации одним запросом без авторизации, ещё до исполнения кода веб-приложения.

Но это не означает, что серверы Nginx с PHP-FPM автоматически защищены.

Официальные предупреждения распространяются на разные способы запуска PHP, включая PHP-FPM, php-cgi, LiteSpeed и FrankenPHP.

Как проверить версию PHP на своём сервере?

Первое, что необходимо сделать владельцу сайта, — выяснить установленную версию PHP и происхождение используемого пакета.

Для Linux-сервера можно выполнить:

php -v

Команда покажет версию PHP, используемую в командной строке.

Однако CLI-версия может отличаться от той, которую применяет веб-сервер.

Если на сервере установлены несколько версий PHP, необходимо проверить конфигурацию соответствующего сайта, PHP-FPM pool или панели хостинга.

Для получения общей информации можно использовать:

php --ini

Команда позволяет узнать, какие конфигурационные файлы загружает PHP в командной строке.

Для проверки веб-окружения предпочтительнее использовать штатные средства хостинг-панели или защищённую серверную диагностику.

Не оставляйте публичный файл phpinfo() на рабочем сайте: он может раскрывать информацию о конфигурации сервера.

Как защитить сайт от PHP2Shell?

1. Установить исправленную версию PHP

Это главная рекомендация разработчиков PHP.

Для ветки 8.2 необходимо перейти на PHP 8.2.35 или сборку поставщика, в которой подтверждено наличие соответствующих исправлений.

Для других поддерживаемых веток также выпущены обновления.

2. Проверить все PHP-окружения

На одном сервере могут одновременно работать несколько сайтов и несколько разных версий PHP.

Обновление одного интерпретатора не гарантирует, что остальные окружения защищены.

3. Проверить контейнеры и приложения

Если PHP используется внутри Docker, необходимо обновить базовый образ и повторно развернуть контейнер.

4. Сделать резервные копии

Перед обновлением следует сохранить файлы проекта, базу данных и необходимые конфигурационные файлы.

Резервная копия должна храниться отдельно от основного сервера.

5. Проверить журналы безопасности

Администратору стоит изучить необычные ошибки PHP, аварийные завершения процессов, нестандартные HTTP-запросы и подозрительные изменения файлов.

6. Ограничить внешний доступ

Если исправление невозможно установить немедленно, следует рассмотреть временную изоляцию наиболее критичных ресурсов.

Ограничения размера запросов, защитные правила и другие дополнительные меры могут уменьшить вероятность отдельных сценариев атаки, но не заменяют обновление.

7. Проверить срок поддержки PHP

Поддержка безопасности ветки PHP 8.2 заканчивается 31 декабря 2026 года.

Поэтому владельцам сайтов необходимо не только устранить текущие уязвимости, но и заранее запланировать переход на поддерживаемую ветку PHP.

Что делать владельцам сайтов в Казахстане?

Компании Казахстана также используют PHP для интернет-магазинов, корпоративных сайтов, CRM-интеграций и внутренних информационных систем.

Поэтому рекомендации по устранению PHP2Shell актуальны и для казахстанского бизнеса.

Особое внимание следует уделить проектам с онлайн-оплатой, клиентскими данными, личными кабинетами, API-ключами и интеграциями с внешними сервисами.

Нередко одна компания использует сразу несколько программных систем, каждая из которых может иметь собственную версию PHP.

Без инвентаризации всех компонентов даже своевременное обновление основного сайта может оставить другие уязвимые точки.

AT Line Security — разработка и техническое сопровождение веб-проектов

Мы в AT Line Security считаем, что безопасность сайта начинается не только с качественного программного кода, но и с правильной настройки серверного окружения.

Мы занимаемся разработкой сайтов, веб-приложений, интеграций и программных решений для компаний Казахстана.

В рамках согласованного технического обслуживания можем помочь:

• Проверить версии PHP и совместимость проекта с обновлениями.

• Проанализировать ошибки приложения.

• Подготовить резервные копии перед изменениями.

• Обновить веб-проект и его зависимости.

• Доработать PHP-код для совместимости с новой версией.

• Настроить необходимые механизмы защиты.

• Разработать безопасные API-интеграции и серверные компоненты.

Ваш сайт работает на PHP 8.2? Не откладывайте проверку безопасности.

Свяжитесь с AT Line Security, расскажите о вашем проекте и используемом сервере. Мы изучим задачу и предложим варианты технического обслуживания или доработки.

AT Line Security — создаём и развиваем программные решения для вашего бизнеса.

Сайт: https://atline.kz

Телефон: +7 707 588 27 28

Материал подготовлен 30 октября 2026 года на основе официальных предупреждений PHP, CERT-EU, производителей программного обеспечения и публикаций исследователей безопасности.