---
title: "PHP2Shell: підтверджено реальну експлуатацію двох критичних вразливостей PHP — зловмисники отримують shell без авторизації"
description: "Дослідники Perplexity та Expel підтвердили успішну експлуатацію вразливостей PHP2Shell (CVE-2026-109618/109619): зловмисники отримують віддалений shell без авторизації. Патчі вийшли 21 жовтня, але атаки вже тривають."
date: 2026-10-28T18:39:52.128Z
lang: uk
url: https://xab.info/uk/posts/php2shell-pidtverdzheno-uspishnu-ekspluatatsiyu-vrazlyvostey-php
tags: [php, vulnerability, cybersecurity, cve-2026-109618, cve-2026-109619, php2shell, remote-code-execution, apache]
author: "Олександр Буран"
publisher: "XAB.info"
---

# PHP2Shell: підтверджено реальну експлуатацію двох критичних вразливостей PHP — зловмисники отримують shell без авторизації

![Ноутбук з відкритим кодом та синя плюшева іграшка слона PHP на клавіатурі](https://xab.info/media/2026/10/28/php2shell-podtverzhda-uspeshnaya-ekspluatatsiya-kriticheskikh-uyazvimostey-php/php2shell-podtverzhda-uspeshnaya-ekspluatatsiya-kriticheskikh-uyazvimostey-php-1.webp)

## Ключові тези

- Підтверджено успішну експлуатацію двох критичних вразливостей PHP2Shell (CVE-2026-109618, CVE-2026-109619), що дозволяють виконувати команди без авторизації
- Атаку зафіксовано на сервері з Apache mod_php та PHP 8.4.26; зловмисник витягнув ~800 КіБ пам'яті та виконав shell-команду за 1,6 мс
- Виправлення випущені командою PHP 21 жовтня 2026 р.; перші спроби атак зафіксовані Amazon Threat Intelligence 17 жовтня
- За оцінками VirusTotal, понад 5,1 млн хостів із PHP доступні з інтернету, з них ~3,8 млн мають відкритий порт

Дослідники кібербезпеки підтвердили, що дві критичні вразливості в мові PHP, об'єднані під загальною назвою PHP2Shell, почали активно експлуатуватися в реальних атаках. Йдеться про помилки CVE-2026-1026-109618 та CVE-2026-109619, які дозволяють зловмиснику віддалено виконувати довільні команди на вразливому сервері без будь-якої попередньої авторизації. До недавнього часу фахівці фіксували лише спроби атак, проте не мали доказів того, що шкідливий код справді виконувався на цільових системах. Ситуація змінилася після того, як незалежні дослідники зафіксували завершені ланцюжки експлуатації на живих серверах.

### Як виглядала підтверджена атака

Перше публічне підтвердження успішної експлуатації отримав Адель Карімі (Adel Karimi), керівник напряму виявлення загроз та реагування на інциденти в компанії Perplexity. Його сервери-пастки (honeypots) зафіксували завершену атаку на систему, що працює під управлінням Apache з модулем mod_php та версією PHP 8.4.26. Під час експлуатації зловмисник витягнув із пам'яті процесу близько 800 кілобайтів даних, після чого використав отриману адресу функції для підготовки наступного етапу атаки. За даними Карімі, після надсилання останнього байта відповідного HTTP-запиту сервер виконав команду оболонки приблизно через 1,6 мілісекунди. Аналогічні результати підтвердив Маркус Хатчинс (Marcus Hutchins), дослідник компанії Expel, який паралельно відстежував повідомлення про успішну експлуатацію PHP2Shell у відкритих каналах.

### Хронологія: від публікації експлойтів до виправлення

Команда розробників PHP випустила виправлення для обох вразливостей 21 жовтня 2026 року. До цього моменту відомості про помилки та низка демонстраційних експлойтів уже перебували у відкритому доступі. При цьому розробники наголошували, що опубліковані на той момент варіанти експлойтів не призводили до успішного виконання коду. Проте компанії Cloudflare, Hadrian, watchTowr, Previdian і Patchstack повідомляли про масові спроби атак, які на той момент не завершувалися експлуатацією. Фахівці Amazon Threat Intelligence зафіксували перші спроби атак ще 17 жовтня — за чотири дні до виходу офіційних оновлень. Таким чином, між появою публічної інформації про вразливості та випуском патчів існувало вікно вразливості, протягом якого зловмисники, ймовірно, допрацьовували робочі експлойти.

### Масштаб потенційного збитку

PHP залишається однією з найпоширеніших серверних технологій у світі: за різними оцінками, на цій платформі працює близько 70 % усіх сайтів в інтернеті. За даними VirusTotal, у відкритому доступі виявлено понад 5,1 мільйона хостів із встановленим PHP, причому близько 3,8 мільйона з них мають щонайменше один порт, доступний для зовнішнього сканування та потенційних атак. Це означає, що успішна експлуатація PHP2Shell становить безпосередню загрозу для мільйонів серверів, не оновлених до виправлених версій. Для адміністраторів, які не встигли встановити патч до 21 жовтня, критично важливо провести аудит журналів доступу та перевірити наявність ознак несанкціонованого виконання команд.

### Що робити адміністраторам і розробникам

Першочергова рекомендація — переконатися, що всі сервери оновлені до версій PHP, які містять виправлення CVE-2026-109618 та CVE-2026-109619. Для систем, де оновлення неможливе в найкоротші терміни, слід обмежити доступ до вразливих портів на рівні файрвола та тимчасово вимкнути модуль mod_php, якщо він не є єдиним способом роботи програми. Крім того, рекомендується увімкнути посилений моніторинг журналів вебсервера на предмет аномальних запитів, характерних для експлуатації PHP2Shell, і перевірити цілісність файлів на предмет впровадження вебшеллів. Дослідники нагадують, що наявність публічних експлойтів та підтверджена масова експлуатація роблять відкладання оновлення неприйнятним ризиком.

## Перевірка фактів і джерела

- [Дыры в PHP начали использоваться в реальных атаках — подтверждены успешные взломы window-new](https://3dnews.ru/1150450/diri-v-php-nachali-ispolzovatsya-v-realnih-atakah-uspeshnie-vzlomi-podtvergdeni) - Першоджерело. Містить повні деталі атаки, імена дослідників, CVE-ідентифікатори, дати виправлення та оцінки масштабу.
- [Дыры в PHP начали использоваться в реальных атаках](https://runet.news/news/85521) - Передрук матеріалу 3dnews зі збереженням усіх ключових фактів: імена, цифри, дати.
- [«Взломы подтверждены»: дыры в PHP начали использоваться в реальных атаках](https://www.topnews.ru/news_id_1320820.html) - Незалежне переказування з тими ж фактами: 800 КіБ, 1,6 мс, PHP 8.4.26, CVE-ідентифікатори, дата виправлення 21 жовтня.

## Часті запитання

### Що таке PHP2Shell і які CVE-ідентифікатори їй відповідають?

PHP2Shell — об'єднана назва двох критичних вразливостей у PHP: CVE-2026-109618 та CVE-2026-109619. Вони дозволяють зловмиснику віддалено виконувати довільні команди на сервері без попередньої авторизації.

### Коли були випущені виправлення і хто їх випустив?

Команда розробників PHP випустила виправлення 21 жовтня 2026 року. До цього відомості про вразливості та демонстраційні експлойти перебували у відкритому доступі.

### Хто підтвердив успішну експлуатацію?

Успішну експлуатацію підтвердили Адель Карімі (Perplexity) через сервери-пастки та Маркус Хатчинс (Expel), який відстежував повідомлення про успішні атаки у відкритих каналах.

### Наскільки масштабна потенційна загроза?

PHP використовується приблизно на 70 % сайтів в інтернеті. За даними VirusTotal, понад 5,1 млн хостів із PHP доступні з мережі, з них близько 3,8 млн мають хоча б один відкритий порт.

### Що робити, якщо сервер ще не оновлено?

Необхідно якнайшвидше встановити патч, обмежити доступ до вразливих портів на рівні файрвола, перевірити журнали вебсервера на ознаки несанкціонованого доступу та переконатися у відсутності впроваджених вебшеллів.