🚨 PHP2Shell: критические RCE в ядре PHP — обновляйтесь сегодня 21 октября команда PHP выпустила внеплановые патчи для двух критических уязвимостей. Без аутентификации, удалённо, на настройках по умолчанию. 🔴 CVE-2026-109618 — RCE через повреждение памяти при нехватке памяти (OOM) 🔴 CVE-2026-109619 — RCE через «зависшее» глобальное состояние (use-after-free между запросами) 📊 CVSS v4.0: 9.2 / 10 ⚠️ Кто под угрозой ▫️ Все PHP, которые обслуживают веб-запросы: mod_php, PHP-FPM, php-cgi, FrankenPHP, LiteSpeed ▫️ Сильнее всего mod_php: хватает одного анонимного запроса, до запуска кода приложения ▫️ RCE показали на WordPress, Drupal, Joomla и даже на «Hello World» ▫️ Кроме RCE возможна утечка памяти: пароли, токены, API-ключи из чужих запросов ✅ Исправленные версии 🟢 8.5.12 · 8.4.27 · 8.3.36 · 8.2.35 ⛔️ 8.1 и старше официальных патчей не получат, переходите на поддерживаемую ветку 🛠 Что сделать прямо сейчас 1️⃣ Обновите PHP (в Ubuntu/RHEL смотрите версию пакета, а не php -v: фикс могли бэкпортировать) 2️⃣ Перезапустите PHP-FPM / Apache: старый код остаётся в памяти до рестарта 3️⃣ Проверьте, что старых процессов не осталось: grep -lE ' /(usr|lib|opt).*\\(deleted\\)$' /proc/[0-9]*/maps 4️⃣ Если сразу обновиться нельзя, временные меры: • session.upload_progress.enabled = 0 • session.use_strict_mode = 1 • fatal_error_backtraces = 0 (PHP 8.5) • ограничить или заблокировать multipart-запросы на веб-сервере/WAF 🕵️ PoC-эксплойты уже ходят по сети после утечки до раскрытия. Ждать не стоит. 🔗 PHP Foundation: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/ 🔗 CERT-EU: https://cert.europa.eu/publications/security-advisories/2026-018/ #PHP2Shell #PHP #CVE #RCE #уязвимость #кибербезопасность #патч #WordPress #DevOps #InfoSec #IncoSolutions #MSCS