Критическая уязвимость PHP

[digger®]

 
PHP2Shell: обнаружены две критические уязвимости PHP — необходимо срочное обновление!

21 октября 2026 года команда разработчиков PHP выпустила экстренные обновления безопасности, устраняющие две критические уязвимости, получившие неофициальное название PHP2Shell.

Уязвимости CVE-2026-109618 и CVE-2026-109619 получили оценку 9,2 из 10 по шкале CVSS 4.0 и позволяют злоумышленникам удалённо выполнять произвольный код на сервере без предварительной авторизации (Remote Code Execution, RCE).

Проблема затрагивает непосредственно интерпретатор PHP, поэтому потенциально опасна для любых сайтов и веб-приложений, работающих на уязвимых версиях, включая форумы Simple Machines Forum (SMF).

В чём заключается опасность?

Обнаруженные уязвимости связаны с ошибками управления памятью и внутренним состоянием PHP при обработке HTTP-запросов.

• CVE-2026-109618 — некорректная обработка ситуаций нехватки памяти (Out of Memory, OOM). При определённых условиях внутренние структуры запроса могут оказаться частично инициализированными, что создаёт возможность выполнения произвольного кода.
• CVE-2026-109619 — неправильное управление внутренним состоянием между запросами. PHP может повторно использовать данные, память под которые уже была освобождена (Use-After-Free), что также создаёт возможность удалённого выполнения кода.

Особую опасность представляет возможность эксплуатации без учётной записи пользователя. По информации разработчиков PHP, для конфигураций Apache с mod_php подтверждён сценарий атаки, срабатывающий ещё до начала выполнения кода веб-приложения.

Успешная эксплуатация может позволить злоумышленнику выполнять команды с правами процесса PHP, получать доступ к файлам сайта, конфигурации и учётным данным подключения к базе данных, изменять содержимое сайта или внедрять вредоносный код.

Какие версии PHP подвержены уязвимостям?

Проблема затрагивает широкий диапазон версий PHP, начиная с PHP 5.4. Исправления выпущены для всех поддерживаемых веток.

Безопасные версии:

• PHP 8.5 — 8.5.12 и новее
• PHP 8.4 — 8.4.27 и новее
• PHP 8.3 — 8.3.36 и новее
• PHP 8.2 — 8.2.35 и новее

Важно! Ветки PHP 8.1 и более ранние уже сняты с официальной поддержки и не получают стандартных обновлений безопасности от разработчиков PHP.

При этом разработчики дистрибутивов Linux и поставщики расширенной поддержки (LTS) могут выпускать исправления с обратным переносом патчей (backport). В таких случаях номер версии PHP может остаться прежним, поэтому необходимо проверять наличие исправления непосредственно у поставщика пакетов.

Что необходимо сделать администраторам форумов SMF?

В первую очередь рекомендуем проверить используемую форумом версию PHP и убедиться в наличии необходимых исправлений.

• Проверьте версию PHP. Уточните версию, которую использует именно веб-сервер с форумом. Версия PHP в командной строке может отличаться от используемой сайтом.
• Установите обновления безопасности. Используйте исправленные версии PHP или пакеты с подтверждёнными исправлениями от поставщика операционной системы.
• Проверьте работу форума после обновления. Особое внимание уделите авторизации, вложениям, загрузке аватаров, отправке сообщений и установленным модификациям SMF.
• Если используется виртуальный хостинг, обратитесь к провайдеру и уточните, установлены ли исправления для CVE-2026-109618 и CVE-2026-109619.
• Убедитесь, что обновлённые обработчики PHP запущены. После установки обновлений может потребоваться перезапуск PHP-FPM или Apache с mod_php, чтобы новые версии библиотек начали использоваться работающими процессами.

Можно ли временно защититься без обновления?

Разработчики PHP подчёркивают, что полноценной альтернативы установке исправлений не существует.

До обновления отдельные меры могут снизить риск эксплуатации, но не гарантируют безопасность.

В частности, рекомендуется рассмотреть отключение механизма отслеживания прогресса загрузки файлов:

Код Выделить Развернуть

session.upload_progress.enabled = 0
Эта настройка снижает риск для одного из подтверждённых сценариев эксплуатации, но не устраняет обе уязвимости полностью.

Дополнительные ограничения на обработку multipart-запросов также могут уменьшить поверхность атаки. Однако их применение способно нарушить загрузку вложений, аватаров и других файлов на форуме.

Поэтому любые временные ограничения следует применять с учётом конфигурации сервера и функциональности сайта.

Относится ли проблема непосредственно к SMF?

Нет. Уязвимости PHP2Shell обнаружены в самом PHP, а не в исходном коде Simple Machines Forum.

Однако поскольку SMF использует PHP для обработки запросов, форум может оказаться под угрозой независимо от версии установленного движка.

Обновление SMF или установленных модификаций не заменяет обновление PHP. Даже актуальная версия форума не устраняет уязвимости в серверном окружении.

Настоятельно рекомендуем всем администраторам форумов SMF не откладывать проверку и обновление PHP, особенно если форум доступен из интернета.

Дополнительная информация

• PHP2Shell — описание уязвимостей, рекомендации по защите и обновлению
• PHP.net — официальное уведомление разработчиков PHP от 21 октября 2026 года
• PHP.net — загрузка актуальных версий PHP