Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) опубликовало предупреждение о двух критических уязвимостях в PHP: CVE-2026-109618 и CVE-2026-109619. Эти уязвимости, известные под названием «php2shell», затрагивают все установки PHP, обслуживающие веб‑запросы.
По данным CISA, указанные уязвимости позволяют выполнять удалённое выполнение кода без аутентификации в PHP. То есть злоумышленник может запускать код на уязвимом PHP‑сервере без входа в систему. На момент публикации CISA не зафиксировало случаев эксплуатации, однако подчёркивает, что при отсутствии патча эти уязвимости представляют риск для организаций.
Рекомендации CISA:
- Выявить и проинвентаризировать все системы, на которых запущен любой вариант PHP в инфраструктуре организации.
- Организации, которые не могут немедленно обновиться, а также продолжающие использовать PHP 8.1 и более ранние неподдерживаемые версии, должны отключить такие PHP‑системы от сети до установки патчей или обновления.
- Изучить официальный security‑advisory PHP и следовать указаниям по установке патчей.
Для читателей embedded.az, использующих PHP для веб‑интерфейсов и панелей управления, любые серверы с обработкой веб‑запросов в PHP необходимо срочно обновить или временно вывести из эксплуатации.
Источник: Gündəm · cisa.gov
