PHP2Shell: дві критичні вразливості в PHP — оновіть зараз
Опубліковано 21.10.2026 · Рівень критичності : Критичний · Оновлено 27.10.2026
Що сталося: 21 жовтня 2026 року PHP виправив дві критичні вразливості, CVE-2026-109618 і CVE-2026-109619, які отримали назву «PHP2Shell». Обидві можуть дозволити виконувати код на сервері без входу. Перша стосується обробки вичерпання пам’яті, а друга — внутрішніх даних, які пізніший запит може використати після звільнення пам’яті.
Наскільки це серйозно: критично. Приклади коду для атак уже оприлюднено, а CERT-FR зафіксував спроби атак (27 жовтня 2026 року). Обидві вразливості входять до американського списку CISA вразливостей, які активно використовують для атак.
Хто в зоні ризику: усі вебсайти, що працюють на PHP — зокрема WordPress, Joomla, Drupal і багато інтернет-магазинів — з PHP 5.x, 7.x, 8.0, 8.1 або 8.2 до 8.2.35, 8.3 до 8.3.36, 8.4 до 8.4.27 і 8.5 до 8.5.12. PHP 5, 7, 8.0 і 8.1 більше не отримують виправлень.
Що слід зробити: оновіть до PHP 8.5.12, 8.4.27, 8.3.36 або 8.2.35 чи новішої версії. Дізнайтеся в постачальника, яку версію PHP використовує ваш вебсайт. Якщо він працює на версії, яка більше не отримує виправлень, його потрібно перенести на підтримувану версію. Тимчасові заходи існують, але, згідно з PHP, вони не забезпечують безпеку встановлення; це може зробити лише оновлення.
Дивіться також CVE-2026-115560, нову вразливість у тому ж напрямі, яку ще не усунуто. Не впевнені щодо свого вебсайту? Напишіть нам, і ми розповімо, що варто зробити.