Уязвимости php2shell (CVE-2026-109618, CVE-2026-109619)

Оперативная информация, последнее существенное изменение: 21 октября 2026 г. 17:25 CEST Последнее обновление статуса списка программного обеспечения: 22 октября 2026 г. 17:23 CEST TLP:CLEAR

Этот репозиторий содержит оперативную информацию о критических уязвимостях PHP, отслеживаемых CERT-EU как CVE-2026-109618 и CVE-2026-109619.

PHP — широко используемый открытый серверный язык сценариев, поэтому эти уязвимости могут затрагивать широкий спектр доступных из интернета веб-приложений и продуктов, которые встраивают PHP или зависят от него.

Текущий статус

21 октября 2026 г. PHP опубликовал исправленные выпуски для CVE-2026-109618 и CVE-2026-109619: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. PHP заявляет, что обе уязвимости могут позволить неаутентифицированное удалённое выполнение кода и что все установки PHP, обслуживающие веб-запросы, подвержены риску, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. PHP считает риск наивысшим для mod_php, где неаутентифицированный запрос может вызвать эксплуатацию до выполнения кода приложения.

PHP описывает CVE-2026-109618 как удалённое выполнение кода через повреждение из-за нехватки памяти при очистке запроса, а CVE-2026-109619 — как удалённое выполнение кода через устаревшее глобальное состояние, принадлежащее запросу, повторно используемое последующим запросом в том же рабочем процессе. PHP 8.1 и более старые версии больше не поддерживаются проектом PHP; дистрибутивы и поставщики LTS могут предоставлять бэкпортированные пакеты, и PHP опубликовал минимальные бэкпорты исходного кода для PHP 7.4, 8.0 и 8.1.

Влияние не ограничивается веб-сайтами: PHP также встроен в устройства, сетевые устройства, интерфейсы управления и другие продукты поставщиков, где администраторы могут быть не в состоянии обновить PHP напрямую.

Рекомендуемые действия

• Определите приложения на основе PHP и версии их среды выполнения, уделяя приоритетное внимание доступным из интернета системам и веб-обслуживающим SAPI.
• Обновитесь до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 либо примените бэкпортированные пакеты, предоставленные поставщиком.
• Отдельно проверьте сторонние образы, устройства и встроенные среды выполнения; для продуктов, включающих PHP, применяйте обновления поставщика, как только они станут доступны.
• Если немедленное исправление невозможно, следуйте временным мерам защиты PHP, включая отключение session.upload_progress, перезапуск рабочих процессов и изучение официальных рекомендаций по memory_limit, post_max_size и fatal_error_backtraces в PHP 8.5. PHP заявляет, что эти меры не являются полными исправлениями.
• Отслеживайте рекомендации поставщиков, журналы доступных из интернета систем и публичную активность эксплойтов.

Дополнительная информация:

• CERT-EU Security Advisory 2026-018
• PHP security advisory: Critical remote code execution vulnerabilities, update now
• List of advisories from other EU national CSIRT's

Содержимое репозитория

Каталог	Назначение
detection_mitigation	Содержит материалы по обнаружению и мерам защиты для уязвимостей.
software	Содержит инвентарные списки программных продуктов с зависимостью от PHP, потенциально затронутых уязвимостями.
tools	Содержит инструменты для использования/создания файлов в этом репозитории

Обратите внимание, что этот репозиторий не является полным и в настоящее время расширяется.

Последние обновления статуса программного обеспечения

Дата и время	Поставщик	Продукт	Версия (см. Статус)	Статус CVE-2026-109618	Статус CVE-2026-109619	Примечания	Ссылки
2026-10-22 17:23:16 +0200	Fortinet	FortiADC Manager		Расследование	Расследование	Оценка CVE: Fortinet PSIRT FG-IR-26-186 указывает продукт как находящийся на расследовании; уязвимые/исправленные версии ещё не опубликованы Рекомендация Fortinet PSIRT FG-IR-26-186 указывает FortiADC Manager как находящийся на расследовании по CVE-2026-109618 и CVE-2026-109619.	источник
2026-10-22 17:23:16 +0200	Fortinet	FortiClient Cloud Services		Расследование	Расследование	Оценка CVE: Fortinet PSIRT FG-IR-26-186 указывает продукт как находящийся на расследовании; уязвимые/исправленные версии ещё не опубликованы Рекомендация Fortinet PSIRT FG-IR-26-186 указывает FortiClient Cloud Services как находящийся на расследовании по CVE-2026-109618 и CVE-2026-109619.	источник
2026-10-22 17:23:16 +0200	Fortinet	FortiDDoS		Расследование	Расследование	Оценка CVE: Fortinet PSIRT FG-IR-26-186 указывает продукт как находящийся на расследовании; уязвимые/исправленные версии ещё не опубликованы Рекомендация Fortinet PSIRT FG-IR-26-186 указывает FortiDDoS как находящийся на расследовании по CVE-2026-109618 и CVE-2026-109619.	источник
2026-10-22 17:23:16 +0200	Fortinet	FortiDDoS-F		Расследование	Расследование	Оценка CVE: Fortinet PSIRT FG-IR-26-186 указывает продукт как находящийся на расследовании; уязвимые/исправленные версии ещё не опубликованы Рекомендация Fortinet PSIRT FG-IR-26-186 указывает FortiDDoS-F как находящийся на расследовании по CVE-2026-109618 и CVE-2026-109619.	источник
2026-10-22 17:23:16 +0200	Fortinet	FortiEndpoint		Расследование	Расследование	Оценка CVE: Fortinet PSIRT FG-IR-26-186 указывает продукт как находящийся на расследовании; уязвимые/исправленные версии ещё не опубликованы Рекомендация Fortinet PSIRT FG-IR-26-186 указывает FortiEndpoint как находящийся на расследовании по CVE-2026-109618 и CVE-2026-109619.	источник

См. полную историю обновлений статуса программного обеспечения.

Приветствуются вклады

Если у вас есть дополнительная информация, относящаяся к этим уязвимостям PHP, не стесняйтесь открыть Pull request. Впервые с этим сталкиваетесь? Прочитайте, как внести вклад, в документации GitHub.

Что касается обновлений списка программного обеспечения: мы настоятельно предпочитаем получать правки в исходных файлах SPDX в software/spdx/. Страницы списка в Markdown генерируются автоматически из этих файлов. Если это окажется слишком сложным: не волнуйтесь. Мы попытаемся перенести правки из файлов .md в исходные файлы SPDX, но без каких-либо гарантий.