Уязвимости PHP2Shell поставили под угрозу значительную часть интернет-инфраструктуры. Ошибки получили обозначения CVE-2026-109618 и CVE-2026-109619 и позволяли удалённо проникнуть в систему на PHP без пароля, изменить её данные или получить над ней контроль. Патчи PHP Foundation выпустила в среду, 21 октября 2026 года.
Проблема затронула особенно большое число ресурсов из-за популярности PHP — бесплатного языка программирования с открытым исходным кодом, который используется при создании сайтов и веб-приложений. По данным W3Techs, примерно 70% доступного из интернета веба по-прежнему зависит от PHP, хотя его доля постепенно снижается. На этой технологии работают, в частности, WordPress, Drupal, Joomla и MediaWiki, лежащая в основе Wikipedia.
Исследователи компании Calif обнаружили две ошибки в 2024 году, однако тогда не сочли их пригодными для атаки. Позднее специалисты нашли способ эксплуатации и сообщили о проблеме PHP Foundation. Разработчики организовали закрытое раскрытие информации: крупным интернет-компаниям и хостинг-провайдерам заранее передали сведения и исправления, чтобы они успели обновить системы до публичного объявления.
PHP2Shell относится к уязвимостям удалённого выполнения кода. Злоумышленнику не требовалось, чтобы пользователь открывал файл или переходил по ссылке, а для доступа к незащищённой системе не нужны были учётные данные. После проникновения атакующий мог установить вредоносную программу, похитить информацию или сохранить возможность вернуться в систему позднее.
Несмотря на координацию между участниками отрасли, Amazon зафиксировала попытки эксплуатации примерно за неделю до публикации исправлений и рекомендовала искать признаки атак начиная с 17 октября. PHP Foundation связала преждевременное раскрытие с компанией, которая разместила патчи за несколько часов до окончания периода эмбарго, однако это не объясняет активность, замеченную Amazon раньше. К концу пятницы Palo Alto Networks и Trail of Bits подтвердили взломы и действия после проникновения, связанные с этими ошибками.
После публикации сведений о PHP2Shell число попыток атак, по словам генерального директора Cloudflare Мэтью Принса, выросло экспоненциально. Системы на PHP используются не только на веб-серверах, но и в инструментах разработчиков, терминальных пакетах, маршрутизаторах, накопителях, межсетевых экранах и VPN-устройствах, поэтому обновление затронуло разные отрасли, включая банки, магазины, больницы и государственные учреждения. Исследователи Calif уточнили, что при поиске и эксплуатации ошибок применялся искусственный интеллект, но основную работу выполнили специалисты, хорошо знакомые с кодом PHP и историей его атак; «No model is simply capable of unearthing ‘all bugs’ with simple prompts. At least for now», — написали они.