Рекомендації щодо усунення критичних вразливостей PHP2Shell
1. Опис загроз та вектора атак
У мові програмування PHP виявлено дві критичні вразливості класу Remote Code Execution (RCE) – CVE-2026-109618 та CVE-2026-109619 (загальна назва – PHP2Shell). За шкалою оцінки загроз CVSS v4.0 загрозі присвоєно рівень 9.2 (Critical). Причиною виникнення вразливостей є недоліки в C-коді
інтерпретатора PHP, зокрема у модулях управління пам’яттю та обробки запитів.
Зазначені недоліки проявляються незалежно від типу використовуваного вебсервера (Nginx, Apache тощо) та його конфігурації. У разі успішної експлуатації зловмисники отримують можливість виконання довільних системних команд у контексті робочих процесів PHP (php-fpm, php-cgi, apache2, httpd). Це призводить до повної компрометації вебсерверів, зчитування сесійних токенів, ключів доступу та облікових даних безпосередньо з пам’яті, а також розміщення вебшелів і компрометації систем управління вмістом (CMS).
2. Перелік вразливих та виправлених версій
Загрозі піддаються всі версії інтерпретатора PHP, починаючи від 5.4.0 і закінчуючи 8.5.11. Офіційні виправлені версії, оприлюднені розробниками 21.10.2026, включають PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 та PHP 8.5.12.
Водночас застарілі гілки PHP (включно з версіями 5.x, 7.x, 8.0 та 8.1) досягли завершення життєвого циклу (EOL) та більше не підтримуються, тому офіційні оновлення безпеки для них розробником випускатися не будуть.
3. Першочергові заходи протидії та реагування
1) Оновити інтерпретатор PHP
Здійснити невідкладне оновлення інтерпретатора PHP на всіх серверах до офіційних виправлених версій (деталі випуску:
https://www.php.net/archive/2026.php#2026-10-21-5). Після встановлення оновлень обов’язково перезапустити відповідні служби для застосування змін:
systemctl restart php -fpm.
2) Застосувати тимчасові заходи стримування (до моменту патчингу або для EOL-версій)
Деактивувати відстеження прогресу завантаження файлів у сесіях, встановивши у конфігураційному файлі php.ini параметр:
session.upload_progress.enabled = Off. Перезапустити службу PHP після внесення змін. Обмежити мережевий доступ до PHP-застосунків із зовнішніх мереж (за можливості – довіреними IP-адресами).
3) Використовувати засоби захисту вебзастосунків (WAF) Задіяти оновлені сигнатури та правила безпеки WAF (зокрема Akamai, Cloudflare) для блокування спроб експлуатації PHP2Shell.
Примітка: Застосування WAF є виключно тимчасовим бар’єром і не скасовує потреби оновлення самого інтерпретатора.
4) Аналізувати та моніторити журнали безпеки
Провести аудит системних журналів на предмет створення дочірніх процесів командних інтерпретаторів (/bin/sh, bash, powershell, curl, wget) від імені користувачів вебсервера (php-fpm, www-data, nginx, apache). Здійснити контроль цілісності вебдиректорій на предмет появи нових або несанкціоновано модифікованих файлів із розширенням .
Директор Департаменту кіберзахисту
Адміністрації Держспецзв’язку Дмитро ПАХОЛЬЧЕНКО
