Фахівці з безпеки готуються до одного з найтривожніших оновлень останніх років: команда PHP підтвердила наявність двох критичних вад в ядрі мови, дані про які витекли ще до офіційної публікації. Виправлення обіцяють випустити сьогодні, 21 жовтня, о 14:00 за UTC, тобто о 17:00 за київським часом.

Що відомо про вразливості

Проблемам присвоєно ідентифікатори CVE-2026-109618 та CVE-2026-109619. За шкалою CVSS v4.0 команда безпеки PHP оцінила кожну з них у 9,2 бала з 10. Хоча частина дослідників і медіа спершу говорили про максимальні 10 балів, Patchstack наголошує, що офіційний показник саме 9,2.

Детальний технічний опис розробники PHP планують опублікувати разом із самим патчем. Тим часом у компанії watchTowr підтвердили, що йдеться про вразливості віддаленого виконання коду (RCE), а за інформацією Patchstack, фахівцям watchTowr навіть вдалося відтворити одну з них на практиці. Проблема закладена безпосередньо в інтерпретаторі мови, а не в якійсь конкретній CMS чи плагіні, тож під загрозою опиняється будь-який сайт, що працює на вразливій версії PHP.

Як інформація стала публічною

20 жовтня команда PHP розіслала попереднє повідомлення: адміністраторам радили готуватися до оновлення, а перелік уражених і виправлених версій обіцяли розкрити одночасно з релізом. Розробники також попередили, що випустять патч раніше запланованого, якщо подробиці стануть публічними або з'являться сліди реальних атак. Саме це й сталося.

Того ж ранку з'явилися перші повідомлення про витік даних. Гендиректор watchTowr Бенджамін Гарріс розповів, що дві RCE-вразливості, ембарго на які мало спливти в четвер об 11:00 за східним часом США, несподівано опинилися в мережі.

CVSS 10

Бенджамін Гарріс, гендиректор watchTowr

За його словами, проблема зачіпає версії PHP 5, 6, 7 та 8. Видання PC Gamer зазначало, що через витік команді PHP довелося прискорити випуск патча.

PHP2Shell: що показало відео

Разом із витоком у мережі з'явилося відео з демонстрацією інструменту під назвою PHP2Shell. За даними Techzine, на записі показано віддалене виконання коду на серверах із такими продуктами: WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0 і 8.83.29, Symfony 8.1.9, Drupal 11.4.10 та WHMCS 9.0.9.

Достовірність цього відео й реальну поведінку експлойта незалежно ніхто не перевіряв, так само як невідомо, чи справді вразливі всі перелічені застосунки за будь-яких налаштувань. Дослідники Sansec звертають увагу, що у банері самого інструмента заявлено його працездатність проти всіх релізів PHP, починаючи з версії 5.4.0.

Масштаб: чому це серйозно

За різними оцінками, PHP працює приблизно на 70% сайтів у світі — Forbes наводить конкретну цифру 69%. Саме на цій мові базуються WordPress, Drupal, Joomla, Magento, WooCommerce, а також величезна кількість внутрішніх корпоративних систем.

Один із дослідників, на якого посилається Techzine, оцінює кількість потенційно вразливих хостів, доступних з інтернету, приблизно в 1,3 мільйона. Фахівці очікують на блискавичну реакцію зловмисників: у Sansec прогнозують, що масові атаки почнуться вже за 15 хвилин після виходу патча.

Схоже, деякі спроби атак тривають уже зараз:

  • за даними Sansec, Cloudflare зафіксувала перші атаки на PHP-сайти о 07:43 UTC
  • Patchstack отримала від кількох хостинг-партнерів повідомлення про активну експлуатацію вразливостей
  • за інформацією Techzine, Cloudflare та Akamai спостерігають автоматичне сканування в пошуках вразливих точок входу

Реакція: від відключень до тривог регуляторів

Деякі організації вирішили не чекати на офіційний реліз патча. Techzine повідомляє про тимчасові збої в роботі нідерландських державних сервісів, зокрема MijnOverheid, DigiD та сайту нижньої палати парламенту. Університети, інтернет-магазини на Magento та форуми на phpBB і vBulletin тим часом тимчасово закривають публічний доступ до своїх ресурсів.

Британський NCSC закликав організації негайно готуватися до оновлення PHP, аналогічну тривогу підняла й американська CISA.

Втім, зупиняють роботу не всі. Великі проєкти зі спеціалізованими середовищами виконання — Techzine наводить приклад Meta з її HHVM — а також системи з WAF та мікросервісною архітектурою менш чутливі до типових помилок PHP. Відносно спокійно почуваються й сайти, де PHP лише віддає статичний контент без доступу до чутливих баз даних та авторизації. А от власникам сайтів із формами, кошиками та особистими кабінетами радять серйозно поставитися до ризиків.

Що робити адміністраторам

Єдиний підтверджений спосіб захиститися — оновити PHP. На це наголошує й Patchstack, посилаючись на слова одного з розробників ядра мови. Практичний алгоритм дій виглядає так:

  1. Скласти повний перелік усіх серверів і застосунків, що працюють на PHP, не забувши про забуті чи рідко використовувані системи.
  2. Зробити резервні копії та узгодити технічне вікно для оновлення.
  3. За потреби тимчасово відключити необов'язкові сервіси, а для критичних — форм, кошиків — розглянути можливість простою до встановлення патча.
  4. Після 14:00 UTC завантажувати нові версії тільки з офіційного php.net та з advisory в GitHub-репозиторії php-src, ігноруючи будь-які чутки.
  5. Після оновлення перезапустити середовище виконання та переконатися командою php -v, що всі хости справді перейшли на нову версію.

Окремий нюанс чекає на користувачів Linux: PHP Foundation попередила, що сьогодні оновлень у репозиторії Remi не буде, тож пакети доведеться шукати в інших джерелах.

Чи отримають патч старі версії

Найгірші новини стосуються тих, хто досі користується застарілими гілками PHP. За даними Patchstack, непідтримувані версії можуть взагалі не отримати виправлень. Щодо того, які саме гілки залишаться без патча, звіти розходяться: одні джерела називають підтримуваними версії 8.2–8.5, інші припускають, що захист отримають і 8.0+.

Остаточну відповідь дасть лише офіційне повідомлення PHP під час самого релізу. Якщо ваш сайт досі працює на PHP 5 чи 7, навряд чи варто сподіватися на латку — найімовірніше, доведеться мігрувати на підтримувану версію або тимчасово прибрати ресурс із публічного доступу.

Джерело: Highload.tech