PHP2Shell: два критических недостатка PHP оставляют незащищенными миллионы серверов

«Две критические уязвимости PHP — CVE-2026-109618 и CVE-2026-109619, обе CVSS 9.2 — позволяют удаленно выполнять код без аутентификации на миллионах серверов. Правительства отключили национальные службы, Cloudflare заметил ранние атаки, а обновление WordPress не исправляет ситуацию. Что произошло, кто подвергся риску и что делать прямо сейчас». PHP незаметно обеспечивает серверную часть большей части Интернета. W3Techs измеряет его на 69,3% всех веб-сайтов, язык сервера которых можно идентифицировать. Один только WordPress занимает около 40% Интернета и работает на PHP, как и Magento, Drupal, Joomla, phpBB, WHMCS и MediaWiki. Когда уязвимость обнаруживается внутри самого PHP, радиусом поражения становится не одно приложение. Это основа для миллионов сайтов одновременно. Именно это и произошло на этой неделе. Во вторник, 20 октября, начали распространяться слухи о том, что вот-вот будут раскрыты две неисправленные уязвимости PHP. Были распространены снимки экрана, в том числе один, показывающий инструмент эксплойта под названием PHP2Shell. Исследователи из watchTowr изучили просочившийся материал и подтвердили, что ошибки реальны и приводят к удаленному выполнению кода. PHP планировал планомерное исправление. Утечка привела к экстренному выпуску — отправлено в среду днем, незначительно.