PHP PHP2Shell осалдығын жапты, сайттар желіден шықты

PHP әзірлеушілері 21 қазанда 8.5.12, 8.4.27, 8.3.36 және 8.2.35 нұсқаларын шығарды. Олар екі сыни осалдықты жабады: бұл ақаулар арқылы серверде авторизациясыз бөгде кодты іске қосуға болады. Сайттар жаңарып жатқанда Финляндияның мемлекеттік қызметтері, Нидерланд парламенті, Nintendo, OBS Project және Берлиндегі Charité клиникасы ресурстарының бір бөлігін уақытша өшіріп қойды.

Осалдықтар CVE-2026-109618 және CVE-2026-109619 нөмірлерін алды, CVSS шкаласы бойынша бағасы — 10-нан 9,2. Wiz зерттеушілері бұл жұпты PHP2Shell деп атады. Олардың бағасынша, интернеттегі сайттардың 70%-дан астамы қауіп астында. Яғни PHP-мен жұмыс істейтін веб-ресурстардың үлесі осындай.

Ақау неде

Екі қате де PHP-дің фаталды іркілістерді, ең алдымен жадтың жетпей қалуын қалай өңдейтінімен байланысты. Сұраныс жад шегіне қолайсыз сәтте тірелсе, интерпретатор толық құрылмаған ішкі деректерді қалдырады. Кейін оларды жарамды деп санайды. Ал екінші осалдықта іркілістен кейін алдыңғы сұраныстың жадына сілтемелер қалып қояды.

Wiz WordPress, Drupal және Joomla-ның жаңа құрастырмаларын құпиясөзсіз қашықтан бұзып көрсетті. Компания мәліметінше, зардап шеккен PHP нұсқасындағы ең қарапайым «Hello World» сайтының өзі осал. Apache-тің mod_php модулі бар серверлер ең көп қауіпте. Алайда PHP әзірлеушілері PHP-FPM, php-cgi, FrankenPHP және LiteSpeed-ті де ықтимал осал деп санайды.

Қатені ЖИ қалай тапты

PHP Foundation сөзінше, мәселенің алғашқы белгілерін ядро әзірлеушісі 2024 жылы-ақ байқаған. Бірақ үйлесімділік туралы даудан түзету бірнеше ай бойы тұрып қалды. 2026 жылғы тамызда дәл осы түпкі себепті үш тарап бір-бірінен тәуелсіз тапты: OpenAI-дың Patch the Planet бағдарламасы аясындағы Calif командасы, Codex Security агенті бар OpenAI-дың өзі және Wiz. Wiz Google-дың Gemini 4 Argon және OpenAI-дың GPT-5.6 Sol модельдерімен жұмыс істеді.

Ақпаратты ашу жоспар бойынша жүрмеді. 20 қазанда осалдық нөмірлері әлеуметтік желілерге қате 10 бағасымен тарап кетті, ал Calif жаңылыс жұмыс істеп тұрған эксплойт бейнесін жариялады. Сондықтан PHP патчтарды бір тәулік ерте, 21 қазанда UTC бойынша 14:00-де шығарды. Chainguard компаниясы түзетілген құрастырмаларды бұдан алты сағат бұрын жариялап жіберді. PHP Foundation оны келісілген жариялауды бұзды деп сынады.

Шабуылдар басталды

PHP Foundation шығарылым сәтінде жұмыс істейтін эксплойт көрмегенін айтты. Ал watchTowr компаниясы сұраныс тақырыптарында php2shell белгісі бар шабуыл әрекеттерін тіркеп отыр. «Әзірге ешкім табысқа жеткен жоқ, бірақ бұл ұзаққа созылады деп күтпейміз», — деді watchTowr қауіптерді талдау бөлімінің басшысы Джейк Нотт.

CERT-EU бірден жаңарта алмайтын компанияларға патч орнатылғанша ашық сайттарды интернеттен ажыратуға кеңес береді. Cloudflare, Akamai, Fastly, AWS және Google Cloud өз желілері деңгейінде уақытша қорғанысты қосып қойды. Алайда Wiz мәселені толық шешетін жалғыз жол — PHP-ді жаңарту екенін ескертеді.

Басты қауіп ескі серверлерде қалып отыр. 8.1 және одан төмен тармақтар түзету алмайды. Detectify аға зерттеушісі Жовиан Жардимнің бағасынша, PHP сайттарының шамамен жартысы дәл солармен жұмыс істейді. PHP Foundation кешігуді «құрылымдық іркіліс» деп мойындап, күрделі осалдықтар бойынша шешімді жылдамдатуға уәде берді. Бір күн бұрын біз PHP шұғыл патчқа қалай дайындалғанын жазғанбыз.

Дереккөздер: PHP Foundation — патчтар мен оқиғалар хронологиясы, Wiz — PHP2Shell зерттеуі, The Register — өшірілген сайттар мен шабуылдар туралы, The Record — компаниялар мен реттеушілердің әрекеті