PHP2Shell: уязвимость в самом PHP и что сделать с сайтом

• —PHP2Shell — общее название двух уязвимостей: CVE-2026-109618 и CVE-2026-109619.
• —Входить на сайт не нужно: достаточно отправить на сервер специально собранный запрос.
• —Ошибка в самом PHP, поэтому обновление CMS и модулей не помогает.
• —Подробности утекли в сеть 20 октября, исправления вышли 21 октября 2026 года.
• —По данным watchTowr, атаки на обе уязвимости идут с 21 октября. 26 октября CISA — агентство кибербезопасности США — внесло CVE-2026-109618 в список уязвимостей, которые используют в реальных атаках.
• —Команда PHP прямо пишет: настройками уязвимость полностью не закрыть, безопасный вариант — только обновление.

• 01

  CVE-2026-109618 — нехватка памяти при разборе запроса

  PHP разбирает входящий запрос ещё до того, как запустится код сайта. Если на этом шаге память упирается в лимит memory_limit, PHP аварийно прерывает разбор и пропускает очистку. Память остаётся в испорченном состоянии, и следующий запрос может этим воспользоваться.
• 02

  CVE-2026-109619 — прогресс загрузки файлов

  Ошибка связана с функцией, которая отслеживает загрузку файла (session.upload_progress). Она включена по умолчанию. Атакующий отправляет запрос с файлом, придерживает его и заставляет PHP обратиться к уже освобождённой памяти.
• 03

  Какие серверы затронуты

  Все способы запуска PHP для сайтов: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP, LiteSpeed. Опаснее всего mod_php: там атака срабатывает до того, как запустится код сайта.

<?php echo PHP_VERSION;

# Debian, Ubuntu (замените php8.2 на свою версию)
zgrep -c "CVE-2026-109618" /usr/share/doc/php8.2-common/changelog.Debian.gz

# RHEL, AlmaLinux, Rocky
rpm -q --changelog php-common | grep -c "CVE-2026-109618"

Ноль совпадений — исправления в пакете нет. Если PHP поставлен не из дистрибутива, а, например, из репозитория Sury, сверяйте номер версии с таблицей.

• —Отключить прогресс загрузки: session.upload_progress.enabled = 0. Только в php.ini, в настройках пула PHP-FPM или веб-сервера — не через ini_set() и не через .user.ini.
• —Уменьшить post_max_size: 8M, если сайт не принимает файлы, 32M — если принимает. upload_max_filesize — меньше него.
• —Ограничить на nginx или другом прокси размер запроса, число полей и заголовков.
• —На PHP 8.5 — fatal_error_backtraces = 0.
• —Команда PHP также советует снять memory_limit (значение -1) и ограничивать память процесса снаружи — через cgroup или контейнер. Это меняет поведение сайта под нагрузкой: без проверки на копии не делать.

; php.ini или пул PHP-FPM — временно, до обновления
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M

• PHP: новости и объявления о выпускахwww.php.net
• watchTowr: вопросы и ответы о CVE-2026-109618watchtowr.com
• Qualys: PHP2Shell — как найти и закрытьblog.qualys.com
• Akamai: разбор PHP2Shellwww.akamai.com