PHP2Shell: что за уязвимости в PHP и чем они опасны

Обновлено 22.10.2026

21 октября 2026 года разработчики PHP выпустили экстренные исправления двух критических уязвимостей в ядре языка. Исследователи назвали их PHP2Shell. Они позволяют выполнить код на сервере без логина и пароля.

Что известно об уязвимостях

• CVE-2026-109618: ошибка при нехватке памяти во время разбора HTTP-запроса. PHP продолжает работу с недоинициализированными данными, что ведёт к выполнению произвольного кода.
• CVE-2026-109619: обращение к уже освобождённой памяти. Данные одного запроса доступны следующему, через это можно прочитать пароли, токены и ключи API.
• Оценка опасности: 9.2 по CVSS 4.0, в базе NVD 9.8 по CVSS 3.1.
• Уязвим код PHP начиная с версии 5.4, то есть ошибки существовали больше десяти лет.
• Под угрозой любой способ запуска PHP: Apache с mod_php, PHP-FPM, php-cgi, LiteSpeed, FrankenPHP. Сильнее всего рискуют серверы с mod_php.

Какие версии исправлены

Почему обновление CMS не помогает

Ошибка находится в интерпретаторе PHP, а не в коде сайта. Обновления WordPress, Drupal или SiteUpdate в «1С-Битрикс» не меняют версию PHP на сервере. Закрыть уязвимость можно только обновлением самого PHP и перезапуском его процессов.

Что делать владельцу сайта

1. Узнать версию PHP, которая реально обслуживает сайт.
2. До обновления включить временную защиту: фильтрацию запросов и компенсирующие настройки из бюллетеня PHP.
3. Обновить PHP до исправленной версии и перезапустить PHP-FPM или Apache.
4. Проверить сервер на следы взлома и сменить пароли и ключи: вторая уязвимость позволяет читать память.

Мы поможем: проверим версию PHP, поставим временную защиту, установим патч и проверим сервер на взлом за 24 часа.