News · Security · November 12, 2026
PHP2Shell через три недели: что доказано, а что нет
PHP работает примерно на 69% сайтов с известным языком, а не на 80%. Что доказано об уязвимостях: открыты, сканируются, эксплуатируются, взломаны.
Через три недели после того, как PHP выпустил исправления двух критических уязвимостей, история раскололась на две части: настоящая серьёзная техническая проблема и набор утверждений, которые больше, чем доказательства. Вот что подтверждают сообщения, по уровням. Всё ниже проверено 12 ноября 2026 года.
Что это за уязвимости
CVE-2026-109618 и CVE-2026-109619 это ошибки безопасности памяти в ядре PHP, обе оценены самим PHP в 9,2 из 10, позволяющие удалённо выполнять код без аутентификации с правами веб-сервера (Rapid7, watchTowr, Unit 42). Первая это ошибка нехватки памяти при обработке запроса, которую можно вызвать специально составленными multipart-загрузками. Вторая оставляет устаревшее состояние, которое может переиспользовать следующий запрос на том же воркере. Wiz показал работу эксплойта на стандартных образах WordPress, Drupal и Joomla и утверждает, что ошибка существует со времён PHP 5.4. Возможность эксплуатации зависит от способа запуска PHP: Apache mod_php самый рискованный случай, а PHP-FPM, php-cgi, FrankenPHP и LiteSpeed тоже под угрозой по данным CISA, Rapid7 и watchTowr.
Исправленные версии: 8.5.12, 8.4.27, 8.3.36 и 8.2.35, выпущены 21 октября. Для PHP 7.4, 8.0 и 8.1 вышли только исходные бэкпорты, а cPanel, CloudLinux и Ondrej Sury выпустили пакеты для старых линеек. Третья, связанная уязвимость CVE-2026-115560 раскрыта 23 октября и требует нестандартной конфигурации (Rapid7 советует отключить отслеживание прогресса загрузки сессий, пока исправление не выйдет в PHP 8.6).
Хронология
- Лето 2026: Calif в рамках программы OpenAI «Patch the Planet» сообщает о безусловном удалённом выполнении кода; Wiz сообщает о собственной находке. По словам PHP Foundation, скоординированное исправление началось в сентябре (PHP Foundation).
- 17 октября: ханипоты Amazon фиксируют самую раннюю попытку эксплуатации, за четыре дня до раскрытия.
- 20 октября: номера CVE утекают, и PHP переносит выпуск на более раннюю дату.
- 21 октября: выходят патчи, Cloudflare включает правила файрвола для всех тарифов, начинаются массовые попытки эксплуатации.
- 26 октября: CISA добавляет обе уязвимости в список эксплуатируемых, с федеральным сроком до 29 октября (бюллетень CISA).
Осторожность с историей «ИИ нашёл»: PHP Foundation говорит, что первопричину нехватки памяти заметили при аудите 2024 года, но не исправили. ИИ-модели лишь ускорили построение цепочки эксплуатации, и в этом реальное изменение.
Четыре уровня доказательств
| Уровень | Что доказано | Источник |
|---|---|---|
| Открыты | Около 29,2 млн PHP-хостов; 18,4 млн (63,1%) показывали уязвимую версию на момент раскрытия, и около 11 млн из них работают на ветках без поддержки. Баннеры версий завышают цифру, потому что дистрибутивы переносят исправления без смены номера. | Bitsight |
| Сканируются | Cloudflare видел миллионы попыток после раскрытия. Imperva насчитала 482 342 запроса за первые 24 часа. Bitsight предупреждает, что значительная часть всплеска сканирования артефакт измерения, а многие публичные эксплойты не работают. | Cloudflare (пост главы), Imperva через TechTarget, Bitsight |
| Эксплуатируются | Amazon, watchTowr и CISA говорят, что эксплуатация в реальной сети есть. Rapid7 сам её не видел на 27 октября. | AWS, CISA |
| Взломаны | Подтверждённых случаев мало и они узкие: около 25 серверов управления Palo Alto PAN-OS (проверено Unit 42) и сервер соревнования CTF. Wordfence на 28 октября не знал ни об одном взломанном сайте WordPress. Unit 42 отозвала раннюю связь с европейским госагентством. Авторитетного подсчёта взломанных сайтов не существует. | Unit 42, Wordfence |
Правда ли, что «сломано 80% интернета»?
Нет. По W3Techs PHP используют 68,8% сайтов, у которых он может определить серверный язык (12 ноября 2026), и сам сервис оговаривает, что цифра исключает сайты с неизвестным языком. В заголовках пишут «около 70%». Это доля использования. Это не доля уязвимых и тем более не доля сломанных. Многие отключённые сайты были остановлены из предосторожности: Нидерланды, Канада, Франция, Германия и другие отключили или ограничили государственные сайты на время патчей, а японский банк Mizuho приостановил услуги. Чиновники Германии и Нидерландов заявили, что видели атаки, но не успешное использование.
Честный вывод: слабость широко распространена и серьёзна, попытки эксплуатации огромны, а успешные взломы реальны, но малы и не подсчитаны. Патчили медленно: Bitsight обнаружил, что через неделю после выхода обновились лишь 33,5% ранее уязвимых хостов и только 6,4% из тех, что на ветках без поддержки.
Что делать сейчас
- Обновите PHP до исправленной версии или пакета поставщика, содержащего оба исправления, и перезапустите воркеры. Пересоберите контейнеры из обновлённых образов.
- Работаете на PHP 8.1 или старше? Используйте бэкпорт от поставщика или отключите сайт, как советовало CISA.
- Считайте окно открытым. Патч не удаляет веб-шелл, подброшенный раньше. Сохраните журналы и резервные копии с 17 октября и ищите следы.
- Уменьшите радиус поражения. Уберите интерфейсы управления из интернета (случаи с PAN-OS), не храните пароли баз данных и ключи API в корне веб-сервера и поменяйте их, если системы были открыты.
- Помните, что это временная мера. Правило файрвола помогает на день. Исправляет только обновление.
Где стоит Ghostdrive
Сайт Ghostdrive статичен, а его узлы написаны на TypeScript, не на PHP, поэтому эта уязвимость к ним не относится. Общая мысль из первого разбора: если взломан сервер, где лежат ваши файлы, вопрос в том, что получает атакующий. В Ghostdrive это запечатанные блоки, потому что файлы шифруются на вашем устройстве. Это ограничение ущерба, а не иммунитет от других ошибок.
Академия: начните здесь · Как часто нас атакуют? · Приоритет патчей