Уязвимости (CVE-2026-109618 и CVE-2026-109619) получили общее имя PHP2Shell. Обе растут из одного корня: после аварийного завершения запроса PHP оставляет память в испорченном состоянии. CVE-2026-109618 позволяет добиться выполнения кода через цепочку ошибок, приводящих к повреждению памяти при нехватке ресурсов. CVE-2026-109619 связана с использованием уже освобождённой памяти и повреждением глобального состояния.

При успешной эксплуатации атакующий может выполнять команды с правами процесса веб-сервера. Особенно уязвимыми разработчики считают конфигурации Apache с mod_php, где запрос способен запустить атаку ещё до выполнения кода самого приложения.

Проблема затрагивает PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. Это означает, что под угрозой могут оказаться сайты на WordPress, Drupal, Joomla и Magento, а также другие приложения, использующие PHP.

Разработчики выпустили исправленные версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для старых веток ситуация сложнее: PHP 8.1 и более ранние версии больше не получают обычных обновлений от основного проекта, хотя отдельные поставщики могут выпускать собственные исправления. Также озвучены временные меры для тех, кто не может срочно установить патчи, вроде установки memory_limit=-1, которые, впрочем, не защищают полностью.

По оценке VirusTotal, в сети доступно свыше 5.1 миллиона PHP-хостов, из которых у 3.8 миллиона открыт по крайней мере один порт.

Cloudflare уже наблюдал ранние попытки эксплуатации этих уязвимостей. Reuters также сообщил, что некоторые организации в Европе отключили публичные сайты на время проверки и установки исправлений. В Нидерландах среди затронутых ресурсов оказались государственные сайты и сайты отдельных организаций.

Источник: Bleeping Computer

теги: php, patch  |  обсудить  |  все отзывы (0)  |  обсудить в tg

[540]

назад «  » вперед

аналогичные материалы PHP2Shell начали эксплуатировать за четыре дня до патчей // 22.10.26 17:19 Очередной рекордный патч Microsoft // 14.10.26 17:36 Рекордный июльский патч - первая ласточка // 16.07.26 12:17 Просроченный сертификат ломает Windows 11 // 04.11.21 20:39 HP закрыла 16-летнюю уязвимость в драйверах принтеров // 20.07.21 15:14 Радость от патча PrintNightmare была преждевременной // 07.07.21 21:49 Microsoft выпустила срочное исправление для PrintNightmare // 07.07.21 03:36

последние новостиBugTraq.Ru: последние новости eMudhra объяснила появление крайне слабых сертификатов ошибкой Python-скрипта // 12.11.26 17:34 Apache HTTP/2 позволяет выполнять команды на сервере без авторизации // 12.11.26 17:31 Google исправила восьмую активно эксплуатируемую уязвимость Chrome с начала года // 10.11.26 21:12 Франция назвала виновных в атаке на холодильники супермаркетов // 10.11.26 21:10 Один хакер, двенадцать ИИ-агентов и взломанная скорая помощь Тайваня // 09.11.26 16:54 admin:admin позволял управлять автомобилями // 09.11.26 16:45 Claude Code мог сохранять пароли и API-ключи в файлах проектов // 07.11.26 19:58