PHP2Shell: як CISO стримати RCE-ризик за допомогою Segura

Дві критичні вразливості PHP2Shell загрожують мільйонам PHP-серверів неавтентифікованим віддаленим виконанням коду. Оновлення WordPress чи інших застосунків не усуває проблему в самому інтерпретаторі PHP, тому CISO повинні інвентаризувати PHP-середовища, застосувати патчі вендорів і посилити контроль привілейованого доступу до того, як атакуючий перейде від веб-сервера до внутрішньої мережі. Softprom є офіційним дистриб'ютором Segura.

Що було анонсовано

Segura опублікувала технічну та керівну рекомендацію щодо вразливостей PHP2Shell, розкритих 21 жовтня 2026 року. Йдеться про дві вади в ядрі PHP: CVE-2026-109618 (обробка out-of-memory) та CVE-2026-109619 (use-after-free під час обробки помилок). Обидві дозволяють неавтентифікований RCE через сформовані HTTP-запити.

За даними Bitsight, у мережі спостерігалося близько 29,2 млн PHP-хостів, з яких 18,4 млн повідомляли про вразливі версії. 26 жовтня 2026 року CISA додала обидва CVE до каталогу Known Exploited Vulnerabilities, а Unit 42 підтвердила експлуатацію інтерфейсів керування PAN-OS у зв'язці з ескалацією привілеїв у ядрі Linux.

Чому це важливо

Для CISO, керівників інфраструктури та закупівель PHP2Shell означає чотири бізнес-ризики: неавтентифікований RCE під обліковим записом PHP або веб-воркера, витік облікових даних і токенів з пам'яті та конфігурацій, неавторизована модифікація вебсайтів і латеральний рух у напрямку Active Directory та внутрішніх систем.

Патчінг закриває відомий вектор, але вікно між розкриттям і масовою експлуатацією тепер вимірюється годинами. Організації, які покладаються лише на правила WAF або оновлення WordPress, Drupal, Laravel на рівні застосунку, залишаються вразливими, адже вада знаходиться всередині інтерпретатора PHP.

Вразливий вебзастосунок не повинен ставати шлюзом до всієї інфраструктури організації. Навіть якщо застосунок скомпрометовано, доступ і можливості атакуючого мають залишатися обмеженими.

Технічні деталі

• CVE-2026-109618: некоректна обробка стану out-of-memory під час парсингу HTTP-запиту; сформовані імена полів форми провокують збій виділення пам'яті.
• CVE-2026-109619: use-after-free в обробці помилок PHP, коли глобальні вказівники звертаються до звільненої пам'яті, що веде до пошкодження пам'яті та виконання коду.
• Передумови: без автентифікації й взаємодії з користувачем; практична експлуатація залежить від збірки PHP, SAPI, лімітів пам'яті та ASLR.
• Супутня вразливість: CVE-2026-115560 у session-handling не виправлена релізами 21 жовтня; тимчасово session.upload_progress.enabled=0.
• Патчі: джерельні виправлення для PHP 7.4, 8.0, 8.1 та підтримуваних гілок; перевіряйте бекпорти в Red Hat, Ubuntu, Debian, Plesk.
• Шар стримування: PAM, принцип найменших привілеїв для www-data та apache, сховище секретів і моніторинг привілейованих сесій.

Часті запитання

Чи може WAF замінити патчінг PHP?

Ні. WAF або віртуальний патч фільтрує відомі шаблони, але не усуває ваду в інтерпретаторі. Оновлення PHP на всіх хостах і перевірка, що воркери запущені з патченою збіркою, залишаються обов'язковими.

Чи зачіпає PHP2Shell WordPress, Drupal і Laravel?

Так. Будь-який застосунок на вразливій версії PHP у зоні ризику. Оновлення ядра WordPress, тем чи плагінів не патчить інтерпретатор PHP, потрібно оновити пакет від ОС або вендора.

Як Segura PAM зменшує наслідки RCE?

Segura PAM зберігає привілейовані облікові дані у сховищі, запроваджує найменші привілеї для сервісних акаунтів, ротує секрети та моніторить сесії. Після компрометації веб-воркера атакуючий отримує короткоживучі облікові дані замість хардкодованих ключів БД і хмар.

Softprom та Segura

Softprom є офіційним дистриб'ютором Segura. Наша команда допомагає CISO оцінити експозицію до PHP2Shell, впровадити Segura PAM для вейтингу облікових даних і моніторингу сесій та узгодити політики найменших привілеїв з планами реагування на інциденти.

Підготовлено редакцією Softprom за матеріалами вендора (Softprom DistriFlow). Джерело: оригінальна стаття.