Уязвимость PHP2Shell: что проверить
Согласно опубликованному документу от 21 октября 2026 года найдены критические уязвимости в php 5.4+ версий (CVE-2026-109618 и CVE-2026-109619) позволяющие в определенных сценариях выполнять код без авторизации с правами процесса PHP. Если ваш сайт размещен на виртуальном хостинге - обновлением займется ваш хостер, если VPS - обновите PHP как можно быстрее.
Какие версии содержат патч
| Ветка | Безопасная версия |
| 7.4 | Патч для самостоятельной сборки или репозиторий от Ондржея Сури |
| 8.0 | Патч для самостоятельной сборки или репозиторий от Ондржея Сури |
| 8.1 | Патч для самостоятельной сборки или репозиторий от Ондржея Сури |
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Обратите внимание, уязвимость именно в PHP, MODX тут не причем, но задевает все не обновленные сайты независимо от режима работы PHP.
Что такое PHP2Shell и чем это грозит?
Если говорить простым языком, в ядре PHP обнаружились ошибки работы с памятью. Это значит, что даже идеальный, безупречно написанный код вашего сайта (хоть простой "Hello World") уязвим, если он работает на старой версии PHP.
Уязвимости две, и обе оцениваются в 9.2 балла из 10 по шкале CVSS (это критический уровень):
- CVE-2026-109618: Повреждение памяти при нехватке ресурсов (OOM). Позволяет злоумышленнику выполнить произвольный код на сервере от имени PHP-воркера без какой-либо аутентификации.
- CVE-2026-109619: Использование освобожденной памяти (use-after-free). Позволяет не только выполнять код, но и читать содержимое памяти сервера.
Почему это страшно? Через утечку памяти злоумышленник может перехватить пароли от базы данных, API-ключи, токены сессий пользователей или SSL-сертификаты. И самое коварное: это может произойти без установки веб-шелла, что делает такой взлом крайне трудным для обнаружения.
КРИТИЧЕСКИ ВАЖНО: После обновления пакетов обязательно перезапустите PHP-FPM, Apache, обработчики очередей. Долгоживущие процессы продолжают работать в памяти со старой, уязвимой версией кода, пока их не перезапустят.