ВЫПУСК ОТ 24 ОКТЯБРЯ 2026 Г.
PHP2Shell: исправления доступны, но уязвимость систем сохраняется
TechCrunch описывает уязвимости PHP, позволяющие удалённо захватить контроль без аутентификации. Исправления были опубликованы в среду после конфиденциальной подготовки с крупными участниками веб-индустрии. По словам цитируемых исследователей, для систем без исправлений риск сохраняется.
Правовое уведомление: этот материал создан системой искусственного интеллекта. Редакционная прозрачность
Реагирование на PHP2Shell иллюстрирует одну из ключевых трудностей веб-безопасности: доступности исправления недостаточно для защиты всех систем. В материале TechCrunch описаны скоординированное раскрытие информации, перебои в работе сервисов и вклад ИИ, ограничения которого подчёркивают исследователи.
Исправления для PHP2Shell доступны, но решающим фактором остаётся их установка. В статье, опубликованной 24 октября, TechCrunch сообщает, что некоторые системы остаются уязвимыми, несмотря на предварительную координацию между ответственными за PHP и крупными участниками веб-индустрии. Уязвимости позволяют удалённо выполнять код без аутентификации на затронутых системах, где исправления не установлены.
Эти уязвимости, получившие обозначения CVE-2026-109618 и CVE-2026-109619, можно эксплуатировать без того, чтобы жертва переходила по ссылке или открывала файл. По данным издания, они могут дать злоумышленнику контроль над затронутой системой с возможностью установить вредоносное ПО, украсть данные или сохранить длительный доступ. Такое сочетание возможностей объясняет срочность установки исправлений.
TechCrunch указывает, что эти недостатки были обнаружены в 2024 году, но тогда их не сочли пригодными для эксплуатации и на том этапе не исправили. Позднее исследователи Calif нашли способ их эксплуатации и уведомили PHP Foundation. Фонд организовал скоординированное раскрытие информации, конфиденциально передав сведения и исправления крупным компаниям, чтобы те могли подготовиться к их установке.
По сообщению издания, общедоступные исправления были выпущены в среду. Банки, торговые предприятия, игровые сервисы, больницы и государственные организации временно отключали свои сайты или серверы для проведения работ. По оценке TechCrunch, эта подготовка во многом позволила избежать массовой эксплуатации на данном этапе, однако издание также приводит предупреждения исследователей о системах, которые по-прежнему остаются уязвимыми. Поэтому эти промежуточные итоги не позволяют заключить, что риск исчез.
В этой истории есть и аспект, связанный с искусственным интеллектом. Calif участвовала в инициативе Hack the Planet от OpenAI и Wiz, которые проверили её демонстрации эксплуатации уязвимостей, сообщает TechCrunch. Согласно отчёту исследователей, представленному изданием, ИИ помог в эксплуатации уязвимостей, но основная работа опиралась на их знание кода PHP и истории его безопасности.
Таким образом, практический вывод связан с переходом от доступного исправления к действительно установленному. Координация может сократить первоначальную подверженность риску, но не гарантирует защиты всех затронутых систем. Что касается роли ИИ, приведённые сведения описывают помощь в специализированной работе; они не доказывают наличия общей способности автоматически обнаруживать и эксплуатировать любые уязвимости.