---

📌 Обзор

PHP2Shell — это пара критических уязвимостей нулевого дня, обнаруженных в ядре движка PHP (CVE-2026-109618 и CVE-2026-109619). Эти уязвимости позволяют неаутентифицированным злоумышленникам выполнять произвольный код (RCE) на серверах, использующих уязвимые конфигурации PHP.

   ┌───────────────────────────────┐
   │     Unauthenticated Attacker  │
   └───────────────┬───────────────┘
                   │
                   ▼ 🟣 Exploit Payload
   ┌───────────────────────────────┐
   │   PHP Engine Core Processing  │
   │ (Stream Filters / PHAR Arch)  │
   └───────────────┬───────────────┘
                   │
                   ▼ ⚡
   ┌───────────────────────────────┐
   │   Arbitrary Shell Execution   │
   └───────────────────────────────┘

⚡ Детали уязвимости

Параметр	Детали
Уязвимости	CVE-2026-109618 и CVE-2026-109619
Оценка CVSS v4.0	9.2 (Критическая)
Вектор	CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
Воздействие	Неаутентифицированное удалённое выполнение кода (RCE)
Затронутое ПО	PHP 5.x, PHP 7.x, PHP 8.0, 8.1, 8.2, 8.3, 8.4

🟣 Разбор угроз

1. CVE-2026-109618: Повреждение памяти в куче при обработке потоковых фильтров

• Механизм: Нарушение безопасности памяти, возникающее при обработке внутреннего буфера внутри потоковых фильтров PHP.
• Вектор эксплуатации: Манипулирование параметрами потока позволяет злоумышленнику контролировать адреса памяти и добиться выполнения кода.

2. CVE-2026-109619: Логическая ошибка при обработке архивов PHAR

• Механизм: Ошибка в логике разбора и десериализации обёрток PHP Archive (.phar).
• Вектор эксплуатации: Контролируемые злоумышленником входные данные заголовка приводят к вызову произвольных функций.

---

📸 Демонстрация

---

🛡️ Смягчение последствий и устранение

1. Обновление пакетов PHP

Наиболее эффективное решение — немедленно обновить сервер до последних исправленных бинарных файлов PHP:

# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade php8.3-cli php8.3-fpm

# RHEL / CentOS / Rocky Linux
sudo dnf update php

2. Экстренные обходные решения (для сред с EOL)

Если ваше приложение зависит от версий с истёкшим сроком поддержки (EOL) (например, PHP 7.x или 8.0), которые не получают официальных патчей безопасности:

• 🟣 Отключите потоковые фильтры / опасные функции: Отредактируйте файл php.ini:

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,phar

• 🟣 WAF / сетевая фильтрация: Внедрите строгие правила веб-прикладного межсетевого экрана (WAF) для блокировки запросов, содержащих протоколы сериализованных потоков (php://filter/, phar://).
• 🟣 Сетевая изоляция: Изолируйте устаревшие серверы за строгими внутренними сетями/VPN.

---

🔍 Обнаружение и проверка

Чтобы проверить, потенциально уязвим ли ваш сервер под управлением PHP:

# Check running PHP version
php -v

# Check loaded modules and PHAR settings
php -i | grep -i "phar"

🤝 Участие в разработке

Вклад, обновления угроз и правила обнаружения (YARA / Sigma) приветствуются!

1. Сделайте форк репозитория
2. Создайте ветку для новой функции (git checkout -b feature/sigma-rule)
3. Зафиксируйте изменения (git commit -m 'Add Sigma detection rule')
4. Отправьте изменения в ветку (git push origin feature/sigma-rule)
5. Откройте Pull Request

---

📜 Отказ от ответственности

Этот репозиторий создан исключительно в образовательных, защитных и исследовательских целях. Сопровождающие не несут ответственности за неправомерное использование или незаконную деятельность, совершённую с использованием предоставленной здесь информации.