Півчетвертої ночі закінчили термінові правки на нашому сервері. Причина в тому, що в світі знайшли дві критичні вразливості в самій мові PHP. Їх назвали PHP2Shell, це CVE-2026-109618 і CVE-2026-109619. Оцінка 9.2 з 10, а для експлуатації не потрібна авторизація.

Основна наша система написана іншою мовою, але кілька окремих сервісів працювали на PHP. Ми несемо відповідальність за все, що крутиться на нашому сервері, тому закрили всі.

Що відомо станом на зараз.

Виправлення вийшли 21 жовтня у версіях 8.5.12, 8.4.27, 8.3.36 та 8.2.35. Старші гілки офіційних патчів не отримали.

Знайшли діри дослідники з допомогою моделей ШІ: першу версію компанія Calif ще в серпні, а Wiz незалежно виявила обидві. Дослідники кажуть, що вада існувала роками, але ШІ зробив її експлуатацію практичною.

Інформація витекла за день до виходу патчу. Спроби атак фіксували ще 17 жовтня, за кілька днів до публічного розкриття. Деякі уряди, за повідомленнями, на час відключили свої сайти.

Масштаб. PHP стоїть на близько 70% сайтів, де відома серверна мова. Це не означає, що стільки зламано: надійних цифр підтверджених зломів поки немає, і дослідники пишуть, що експлуатація складніша, ніж здавалось у перший день. Але ризик реальний, а старих версій без підтримки в мережі дуже багато.

Що зробити вам.

Перевірте, чи є PHP на сервері та в контейнерах: php -v, docker images.
Оновіть PHP і перезапустіть php-fpm або веб-сервер.
Якщо оновитись не можете одразу, вимкніть session.upload_progress.enabled.
Подивіться на дивні дочірні процеси від користувача веб-сервера і нові php файли.
Якщо сервіси були відкриті в мережі з 17 жовтня, змініть ключі та токени.

Бережіть себе і свої сервери 🙏