CISA подтвердила эксплуатацию PHP2Shell, срок — 29 октября
21 октября PHP закрыл два критических RCE внеплановым патчем. 26 октября CISA внесла оба CVE в каталог известных эксплуатируемых уязвимостей — патчи больше не рекомендация, а требование с дедлайном для федеральных систем США.
26 октября 2026 года Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило CVE-2026-109618 и CVE-2026-109619 — пару критических уязвимостей, получивших неофициальное имя PHP2Shell, — в каталог известных эксплуатируемых уязвимостей (KEV). Основание — подтверждённые факты активной эксплуатации в реальных атаках, а не теоретический риск. Для федеральных гражданских агентств США это означает обязательный патч к 29 октября; для всех остальных — сигнал, что окно между публикацией патча и массовым сканированием уязвимых серверов уже закрылось.
Что изменилось со времён патча
Сами уязвимости не новые: PHP Foundation закрыла их внеплановым релизом ещё 21 октября — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 устраняют повреждение памяти при обработке OOM-состояния (CVE-2026-109618) и use-after-free в состоянии, которое сохраняется между запросами (CVE-2026-109619). Обе дают неаутентифицированное удалённое выполнение кода с правами веб-воркера и получили почти максимальную оценку CVSS v4.0 — 9.2. За прошедшую неделю ситуация ухудшилась: по данным The Register, независимые исследователи зафиксировали успешные эксплуатации в дикой природе, а оценка Censys показывает, что более 32,5 млн PHP-сервисов всё ещё работают на уязвимых версиях — спустя почти неделю после выхода патчей.
Почему запись в KEV — не формальность
Каталог KEV существует именно для разделения «теоретически опасно» и «уже используется против реальных целей»: CISA добавляет туда CVE только при подтверждённых случаях эксплуатации, и запись автоматически запускает обязательные сроки устранения для федеральных систем по директиве BOD 22-01. Уязвимость затрагивает любую конфигурацию, которая обслуживает веб-запросы через PHP — PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP, LiteSpeed, — независимо от того, какой фреймворк работает поверх. Частичных обходных решений PHP Foundation не предлагает: в официальном бюллетене прямо указано, что единственная безопасная мера — обновление.
Кто остаётся в зоне риска вне федерального периметра
Формальный дедлайн 29 октября касается только федеральных гражданских агентств США, но запись в KEV на практике означает рост автоматизированного сканирования интернета на признаки уязвимых версий — атакующие ориентируются на тот же каталог, что и защитники. Больше всего рискуют проекты без выделенного security-процесса: сайты на устаревающих сборках, легаси-бэкенды, которые обновляют «когда будет время», и инфраструктура, собранная годы назад без автоматического отслеживания CVE в зависимостях рантайма. Для таких случаев разумнее не держать патч-менеджмент на разработчике, который переключился на другую задачу, а отдавать сопровождение веб-приложения команде, которая системно следит за версиями PHP на проде и обновляет их по графику, — например, подрядчику вроде команды, которая закладывает плановое обновление и патчинг в сопровождение веб-приложений, а не оставляет его на усмотрение исполнителя.
Что проверить прямо сейчас
- Версию PHP на всех продакшен-хостах — должна быть 8.5.12, 8.4.27, 8.3.36 или 8.2.35 и новее
- Все способы запуска PHP в инфраструктуре: php-fpm за nginx, контейнеры на FrankenPHP, managed-хостинг с автообновлениями, staging-окружения, которые часто забывают
- Логи веб-сервера на аномалии в запросах к публичным эндпоинтам за период с конца сентября — ретроспективная проверка на случай, если эксплуатация уже произошла
- Процесс отслеживания security-бюллетеней PHP — если патч 21 октября узнали не в день релиза, стоит пересмотреть, кто и как мониторит CVE для прод-стека
