PHP2Shell: dvi kritinės PHP pažeidžiamybės – atnaujinkite dabar
Paskelbta 21.10.2026 · Svarbumo lygis : Kritinis · Atnaujinta 27.10.2026
Kas nutiko: 2026 m. spalio 21 d. PHP pataisė dvi kritines pažeidžiamybes – CVE-2026-109618 ir CVE-2026-109619, pavadintas „PHP2Shell“. Abi gali leisti nuotoliniu būdu vykdyti kodą serveryje be prisijungimo. Pirmoji susijusi su nepakankamo atminties valdymu, antroji – su vidiniais duomenimis, kuriuos vėlesnė užklausa gali panaudoti po to, kai atmintis buvo atlaisvinta.
Kiek tai rimta: kritiškai. Atsakymo kodų pavyzdžiai yra viešai pasiekiami, o CERT-FR pastebėjo atakų bandymus (2026 m. spalio 27 d.). Abi pažeidžiamybės įrara į amerikiečių CISA aktyviai naudojamų pažeidžiamybių sąrašą.
Kas paveiktas: visos svetainės, kuriose naudojamas PHP – įskaitant WordPress, Joomla, Drupal ir daugybę internetinių parduotuvių – su PHP 5.x, 7.x, 8.0, 8.1 arba 8.2 iki 8.2.35, 8.3 iki 8.3.36, 8.4 iki 8.4.27 ir 8.5 iki 8.5.12. PHP 5, 7, 8.0 ir 8.1 versijoms nebepateikiamos saugumo pataisos.
Ką turėtumėte padaryti: atnaujinkite į PHP 8.5.12, 8.4.27, 8.3.36 arba 8.2.35 arba naujesnę versiją. Paklauskite savo teikėjo, kurią PHP versiją naudoja jūsų svetainė. Jei ji veikia versijoje, kuriai nebepateikiamos saugumo pataisos, turite perkelti ją į palaikomą versiją. Yra laikinos priemonės, tačiau, pasak PHP, jos neužtikrina saugumo – tai padaro tik atnaujinimas.
Taip pat CVE-2026-115560, naują pažeidžiamumą tame pačioje srityje, kuris dar nėra ištaisytas. Nesate tikri dėl savo svetainės? Rašykite mums, ir pasakysime, ką reikėtų atlikti.