---
title: "PHP2Shell: подтверждена реальная эксплуатация двух критических уязвимостей PHP — злоумышленники получают shell без авторизации"
description: "Исследователи Perplexity и Expel подтвердили успешную эксплуатацию уязвимостей PHP2Shell (CVE-2026-109618/109619): злоумышленники получают удалённый shell без авторизации. Патчи вышли 21 октября, но атаки уже идут."
date: 2026-10-28T18:39:52.128Z
lang: ru
url: https://xab.info/posts/php2shell-podtverzhda-uspeshnaya-ekspluatatsiya-kriticheskikh-uyazvimostey-php
tags: [php, vulnerability, cybersecurity, cve-2026-109618, cve-2026-109619, php2shell, remote-code-execution, apache]
author: "Александр Буран"
publisher: "XAB.info"
---

# PHP2Shell: подтверждена реальная эксплуатация двух критических уязвимостей PHP — злоумышленники получают shell без авторизации

![Ноутбук с открытым исходным кодом и синяя плюшевая игрушка слона PHP на клавиатуре](https://xab.info/media/2026/10/28/php2shell-podtverzhda-uspeshnaya-ekspluatatsiya-kriticheskikh-uyazvimostey-php/php2shell-podtverzhda-uspeshnaya-ekspluatatsiya-kriticheskikh-uyazvimostey-php-1.webp)

## Ключевые тезисы

- Подтверждена успешная эксплуатация двух критических уязвимостей PHP2Shell (CVE-2026-109618, CVE-2026-109619), позволяющих выполнять команды без авторизации
- Атака зафиксирована на сервере с Apache mod_php и PHP 8.4.26; злоумышленник извлёк ~800 КиБ памяти и выполнил shell-команду за 1,6 мс
- Исправления выпущены командой PHP 21 октября 2026 г.; первые попытки атак зафиксированы Amazon Threat Intelligence 17 октября
- По оценкам VirusTotal, более 5,1 млн хостов с PHP доступны из интернета, из них ~3,8 млн имеют открытый порт

Исследователи кибербезопасности подтвердили, что две критические уязвимости в языке PHP, объединённые под общим названием PHP2Shell, начали активно эксплуатироваться в реальных атаках. Речь идёт об ошибках CVE-2026-1026-109618 и CVE-2026-109619, позволяющих злоумышленнику удалённо выполнять произвольные команды на уязвимом сервере без какой-либо предварительной авторизации. До недавнего времени специалисты фиксировали лишь попытки атак, однако не располагали доказательствами того, что вредоносный код действительно выполнялся на целевых системах. Ситуация изменилась после того, как независимые исследователи зафиксировали завершённые цепочки эксплуатации на живых серверах.

### Как выглядела подтверждённая атака

Первое публичное подтверждение успешной эксплуатации получил Адель Карими (Adel Karimi), руководитель направления обнаружения угроз и реагирования на инциденты в компании Perplexity. Его серверы-ловушки (honeypots) зафиксировали завершённую атаку на систему, работающую под управлением Apache с модулем mod_php и версией PHP 8.4.26. В ходе эксплуатации злоумышленник извлёк из памяти процесса порядка 800 кибайт данных, после чего использовал полученный адрес функции для подготовки следующего этапа атаки. По данным Карими, после отправки последнего байта соответствующего HTTP-запроса сервер выполнил команду оболочки примерно через 1,6 миллисекунды. Аналогичные результаты подтвердил Маркус Хатчинс (Marcus Hutchins), исследователь компании Expel, который параллельно отслеживал сообщения об успешной эксплуатации PHP2Shell в открытых каналах.

### Хронология: от публикации эксплойтов до исправления

Команда разработчиков PHP выпустила исправления для обеих уязвимостей 21 октября 2026 года. До этого момента сведения об ошибках и ряд демонстрационных эксплойтов уже находились в открытом доступе. При этом разработчики подчёркивали, что опубликованные на тот момент варианты эксплойтов не приводили к успешному выполнению кода. Тем не менее компании Cloudflare, Hadrian, watchTowr, Previdian и Patchstack сообщали о массовых попытках атак, которые на тот момент не завершались эксплуатацией. Специалисты Amazon Threat Intelligence зафиксировали первые попытки атак ещё 17 октября — за четыре дня до выхода официальных обновлений. Таким образом, между появлением публичной информации об уязвимостях и выпуском патчей существовало окно уязвимости, в течение которого злоумышленники, вероятно, дорабатывали рабочие эксплойты.

### Масштаб потенциального ущерба

PHP остаётся одной из наиболее распространённых серверных технологий в мире: по различным оценкам, на этой платформе работает порядка 70 % всех сайтов в интернете. По данным VirusTotal, в открытом доступе обнаружено более 5,1 миллиона хостов с установленным PHP, причём около 3,8 миллиона из них имеют как минимум один порт, доступный для внешнего сканирования и потенциальных атак. Это означает, что успешная эксплуатация PHP2Shell представляет непосредственную угрозу для миллионов серверов, не обновлённых до исправленных версий. Для администраторов, не успевших установить патч до 21 октября, критически важно провести аудит журналов доступа и проверить наличие признаков несанкционированного выполнения команд.

### Что делать администраторам и разработчикам

Первоочередная рекомендация — убедиться, что все серверы обновлены до версий PHP, содержащих исправления CVE-2026-109618 и CVE-2026-109619. Для систем, где обновление невозможно в кратчайшие сроки, следует ограничить доступ к уязвимым портам на уровне файрвола и временно отключить модуль mod_php, если он не является единственным способом работы приложения. Кроме того, рекомендуется включить усиленный мониторинг журналов веб-сервера на предмет аномальных запросов, характерных для эксплуатации PHP2Shell, и проверить целостность файлов на предмет внедрения веб-шеллов. Исследователи напоминают, что наличие публичных эксплойтов и подтверждённая массовая эксплуатация делают откладывание обновления неприемлемым риском.

## Проверка фактов и источники

- [Дыры в PHP начали использоваться в реальных атаках — подтверждены успешные взломы window-new](https://3dnews.ru/1150450/diri-v-php-nachali-ispolzovatsya-v-realnih-atakah-uspeshnie-vzlomi-podtvergdeni) - Первоисточник. Содержит полные детали атаки, имена исследователей, CVE-идентификаторы, даты исправления и оценки масштаба.
- [Дыры в PHP начали использоваться в реальных атаках](https://runet.news/news/85521) - Перепечатка материала 3dnews с сохранением всех ключевых фактов: имена, цифры, даты.
- [«Взломы подтверждены»: дыры в PHP начали использоваться в реальных атаках](https://www.topnews.ru/news_id_1320820.html) - Независимое пересказывание с теми же фактами: 800 КиБ, 1,6 мс, PHP 8.4.26, CVE-идентификаторы, дата исправления 21 октября.

## Частые вопросы

### Что такое PHP2Shell и какие CVE-идентификаторы ей соответствуют?

PHP2Shell — объединённое название двух критических уязвимостей в PHP: CVE-2026-109618 и CVE-2026-109619. Они позволяют злоумышленнику удалённо выполнять произвольные команды на сервере без предварительной авторизации.

### Когда были выпущены исправления и кто их выпустил?

Команда разработчиков PHP выпустила исправления 21 октября 2026 года. До этого сведения об уязвимостях и демонстрационные эксплойты находились в открытом доступе.

### Кто подтвердил успешную эксплуатацию?

Сuccessful exploitation подтвердили Адель Карими (Perplexity) через серверы-ловушки и Маркус Хатчинс (Expel), отслеживавший сообщения об успешных атаках в открытых каналах.

### Насколько масштабна потенциальная угроза?

PHP используется примерно на 70 % сайтов в интернете. По данным VirusTotal, более 5,1 млн хостов с PHP доступны из сети, из них около 3,8 млн имеют хотя бы один открытый порт.

### Что делать, если сервер ещё не обновлён?

Необходимо как можно скорее установить патч, ограничить доступ к уязвимым портам на уровне файрвола, проверить журналы веб-сервера на признаки несанкционированного доступа и убедиться в отсутствии внедрённых веб-шеллов.