CISA внесла уязвимости PHP2Shell в KEV: RCE подтверждено в атаках

CISA 26 октября внесла уязвимости PHP2Shell — CVE-2026-109618 и CVE-2026-109619 — в каталог KEV. Их уже используют в реальных атаках для удалённого выполнения кода на необновлённом PHP. Команда PHP выпустила исправления 21 октября. Для третьей уязвимости, CVE-2026-115560, патча нет, есть только временные меры.

Что CISA внесла в KEV по уязвимостям PHP2Shell

PHP2Shell — общее обозначение двух уязвимостей в PHP: CVE-2026-109618 и CVE-2026-109619. 26 октября CISA внесла обе в каталог Known Exploited Vulnerabilities и тем самым признала, что их используют в атаках. Атакующему не нужны ни учётная запись, ни привилегии, итог — удалённое выполнение кода на необновлённой системе.

BleepingComputer называет эти атаки атаками высокой сложности: в терминах CVSS успех зависит от условий, которые атакующий контролирует не полностью. Гражданские федеральные ведомства США должны закрыть обе уязвимости до 29 октября по директиве BOD 26-04.

Число жертв, атрибуцию и индикаторы компрометации CISA не опубликовала. CVSS, первопричины, списка уязвимых веток и номеров исправленных релизов в открытых данных тоже нет — ищите их в бюллетене команды PHP и своего дистрибутива.

PHP2Shell уже используют в атаках или это только попытки?

И то и другое. По данным Amazon Threat Intelligence, атакующие взялись за PHP2Shell за четыре дня до патча, то есть примерно 17 октября. Номера CVE и меры защиты, которые разослали операторам критической инфраструктуры, к этому времени уже утекли в открытый доступ.

По словам команды PHP, опубликованные PoC не работали. Cloudflare, Amazon, Hadrian, watchTowr, Previdian и Patchstack ещё до раскрытия фиксировали массовые попытки и все сочли их неуспешными. При высокой сложности атаки это ожидаемо, но «почти все» не означает «ни одна».

Первым успешную эксплуатацию публично подтвердил Adel Karimi, глава направления Detection & Response в Perplexity. На выходных ловушка (honeypot) исследователя зафиксировала выполнение кода на сервере Apache с mod_php под PHP 8.4.26. Это версия на конкретной ловушке, а не граница уязвимого диапазона.

С mod_php код атакующего выполняется в контексте процессов Apache, с PHP-FPM — в контексте пула. Права root атакующий автоматически не получает, но для веб-шелла и кражи данных хватает и этих.

Есть ли патч и что с третьей уязвимостью?

Для CVE-2026-109618 и CVE-2026-109619 исправления вышли 21 октября, и команда PHP заранее попросила ставить их сразу. Запись в KEV появилась через пять дней после патча.

CVE-2026-115560 тоже ведёт к удалённому выполнению кода, но патча для неё нет: 23 октября команда PHP опубликовала только временные меры. По словам разработчиков, уязвимость срабатывает при «необычном сочетании конфигурации и кода приложения», поэтому обновление интерпретатора её не закроет. Такую связку автоматический сканер не разберёт, здесь нужен пентест веб-приложений.

Что сделать с уязвимостями PHP2Shell на этой неделе

По оценкам VirusTotal, PHP работает примерно на 70 % сайтов. В интернете видно более 5,1 млн PHP-хостов, около 3,8 млн из них — как минимум с одним портом, открытым для атак. Найти свои узлы, включая забытые тестовые стенды, поможет сканирование уязвимостей.

• Поставьте исправленные сборки, перезапустите Apache или пул PHP-FPM, пересоберите контейнеры.
• Статус исправления проверяйте по журналу изменений пакета: при бэкпорте дистрибутив не меняет основную версию.
• Для CVE-2026-115560 внедрите временные меры команды PHP.
• Поднимите журналы примерно с 17 октября. Подозрительный запрос ещё не доказывает взлом — смотрите, что было после него: дочерние процессы веб-сервера, новые файлы в корне сайта, задания планировщика, исходящие соединения.

Из практики: php -v часто показывает свежую версию CLI, а сайт при этом обслуживает старый mod_php или пул FPM из другого пакета. Для каждого сайта записывайте фактический SAPI и путь к бинарнику.

Если следы выполнения кода уже есть, патч не уберёт веб-шеллы и созданные атакующим учётные записи. Сохраните доказательства, изолируйте узел и закажите защиту сайта от взлома с полной чисткой.

Частые вопросы

Почему попытки назвали неуспешными, а CISA всё равно внесла CVE в KEV?

Шесть компаний оценивали массовые попытки до раскрытия. Позже ловушка исследователя Perplexity зафиксировала успешное выполнение кода.

Есть ли патч и какие версии PHP уязвимы?

Исправления вышли 21 октября. Публичного списка уязвимых веток нет — номера релизов уточняйте в бюллетене PHP и своего дистрибутива.

Обязателен ли срок 29 октября для компаний в РФ?

Нет, BOD 26-04 обязывает только гражданские федеральные ведомства США. Но уязвимости уже в KEV, так что обновляться стоит сразу.

Если нужно быстро понять, где у вас работает уязвимый PHP и не остался ли в системе чужой доступ, SecurityLab.pro проведёт пентест внешнего периметра с проверкой следов компрометации.