PHP2Shell: как CISO сдержать RCE-риск с помощью Segura

Две критические уязвимости PHP2Shell ставят под угрозу миллионы PHP-серверов, допуская неаутентифицированное удалённое выполнение кода. Обновление WordPress и других приложений не устраняет проблему в самом интерпретаторе PHP, поэтому CISO должны инвентаризировать PHP-среды, применить патчи вендоров и усилить контроль привилегированного доступа до того, как атакующий перейдёт от веб-сервера во внутреннюю сеть. Softprom является официальным дистрибьютором Segura.

Что было анонсировано

Segura опубликовала техническую и управленческую рекомендацию по уязвимостям PHP2Shell, раскрытым 21 октября 2026 года. Речь о двух дефектах в ядре PHP: CVE-2026-109618 (обработка out-of-memory) и CVE-2026-109619 (use-after-free при обработке ошибок). Оба позволяют неаутентифицированный RCE через подготовленные HTTP-запросы.

По данным Bitsight, в сети наблюдалось около 29,2 млн PHP-хостов, из которых 18,4 млн сообщали об уязвимых версиях. 26 октября 2026 года CISA добавила оба CVE в каталог Known Exploited Vulnerabilities, а Unit 42 подтвердила эксплуатацию интерфейсов управления PAN-OS в связке с эскалацией привилегий в ядре Linux.

Почему это важно

Для CISO, руководителей инфраструктуры и закупок PHP2Shell означает четыре бизнес-риска: неаутентифицированный RCE под учётной записью PHP или веб-воркера, утечка учётных данных и токенов из памяти и конфигураций, несанкционированная модификация веб-сайтов и латеральное движение в сторону Active Directory и внутренних систем.

Патчинг закрывает известный вектор, но окно между раскрытием и массовой эксплуатацией теперь измеряется часами. Организации, полагающиеся только на правила WAF или обновление WordPress, Drupal, Laravel на уровне приложения, остаются уязвимыми, так как дефект находится внутри самого интерпретатора PHP.

Уязвимое веб-приложение не должно становиться шлюзом ко всей инфраструктуре организации. Даже при компрометации приложения доступ и возможности атакующего должны оставаться ограниченными.

Технические детали

• CVE-2026-109618: некорректная обработка состояния out-of-memory при парсинге HTTP-запроса; подготовленные имена полей формы провоцируют сбой выделения памяти.
• CVE-2026-109619: use-after-free в обработке ошибок PHP, когда глобальные указатели ссылаются на освобождённую память, что ведёт к повреждению памяти и выполнению кода.
• Предусловия: без аутентификации и взаимодействия пользователя; практическая эксплуатация зависит от сборки PHP, SAPI, лимитов памяти и ASLR.
• Смежная уязвимость: CVE-2026-115560 в session-handling не закрыта релизами 21 октября; временно session.upload_progress.enabled=0.
• Патчи: исходные исправления для PHP 7.4, 8.0, 8.1 и поддерживаемых веток; проверяйте бэкпорты в Red Hat, Ubuntu, Debian, Plesk.
• Слой сдерживания: PAM, принцип наименьших привилегий для www-data и apache, хранилище секретов и мониторинг привилегированных сессий.

Часто задаваемые вопросы

Может ли WAF заменить патчинг PHP?

Нет. WAF или виртуальный патч фильтрует известные шаблоны, но не устраняет дефект в интерпретаторе. Обновление PHP на всех хостах и проверка, что воркеры запущены с патченой сборкой, остаются обязательными.

Затрагивает ли PHP2Shell WordPress, Drupal и Laravel?

Да. Любое приложение на уязвимой версии PHP находится в зоне риска. Обновление ядра WordPress, тем или плагинов не патчит интерпретатор PHP, нужно обновить пакет от ОС или вендора.

Как Segura PAM снижает последствия RCE?

Segura PAM хранит привилегированные учётные данные в хранилище, вводит наименьшие привилегии для сервисных аккаунтов, ротирует секреты и мониторит сессии. При компрометации веб-воркера атакующий получает короткоживущие данные вместо жёстко прописанных ключей БД и облаков.

Softprom и Segura

Softprom является официальным дистрибьютором Segura. Наша команда помогает CISO оценить экспозицию к PHP2Shell, внедрить Segura PAM для хранения учётных данных и мониторинга сессий, а также согласовать политики наименьших привилегий с планами реагирования на инциденты.

Подготовлено редакцией Softprom по материалам вендора (Softprom DistriFlow). Источник: оригинальная статья.