CISA внесла две уязвимости PHP2Shell в каталог эксплуатируемых уязвимостей
По данным The Hacker News, уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют выполнить код на сервере без аутентификации. Исправления вышли в поддерживаемых ветках PHP 21 октября.
Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило две уязвимости PHP2Shell в каталог Known Exploited Vulnerabilities (KEV), сообщает The Hacker News. Это означает, что ведомство считает их уже используемыми в атаках.
Речь идёт об уязвимостях CVE-2026-109618 и CVE-2026-109619 с оценкой 9,2 балла по шкале CVSS. Обе позволяют удалённо выполнить произвольный код на уязвимом сервере без прохождения аутентификации. Первая связана с повреждением памяти при нехватке памяти, вторая — с устаревшим внутренним состоянием запроса.
Издание также приводит заявление Аделя Карими, руководителя направления обнаружения и реагирования в Perplexity: 24 октября он зафиксировал успешное удалённое выполнение кода на системах-приманках. При этом Карими отдельно предупредил, что наблюдение относится к специально подобранной конфигурации с одним рабочим процессом mod_php и не показывает надёжность эксплуатации в других сборках PHP, приложениях или при другом числе рабочих процессов.
PHP выпустил обновления с исправлениями 21 октября: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Федеральным ведомствам США CISA установило срок до 29 октября для установки исправлений.
По оценке Censys, которую цитирует The Hacker News, более 32,51 млн сервисов PHP всё ещё работают на затронутых версиях.