Інформування щодо кіберзагроз
CERT-UA інформує про загрозу неавтентифікованого віддаленого виконання коду (RCE) в інтерпретаторі PHP через критичні вразливості CVE-2026-109618 та CVE-2026-109619 (також відомі як “PHP2Shell”).
Вразливості містяться у C-коді інтерпретатора PHP (зокрема у модулях обробки запитів та управління пам’яттю) незалежно від конфігурації веб-сервера. Загрозі присвоєно критичний рівень небезпеки CVSS v4.0 – 9.2 (за оцінками незалежних дослідників — до 10.0).
У мережі вже наявні публічні інструменти експлуатації та зафіксовано спроби масового сканування й атак.
Вразливі та виправлені версії:
– Вразливими є всі версії PHP, починаючи з 5.4.0 і закінчуючи 8.5.11.
– Офіційні виправлені версії: PHP 8.2.35, 8.3.36, 8.4.27 та 8.5.12.
– Застарілі версії (PHP 5.x, 7.x, 8.0, 8.1) досягли завершення життєвого циклу (EOL) і вже не отримають офіційних оновлень від PHP Foundation.
Можливі наслідки:
– Повна компрометація вебсервера та виконання системних команд у контексті робочих процесів PHP (php-fpm, php-cgi, apache2, nginx).
– Викрадення паролів, сесійних токенів та ключів доступу безпосередньо з пам’яті сервера, а також розгортання веб-шелів.
– Компрометація вебдодатків та CMS (WordPress, Magento, WooCommerce, Drupal тощо).
Рекомендації з протидії та реагування:
1. Оновлення інтерпретатора: Наполегливо рекомендуємо якнайшвидше оновити PHP на підтримуваних гілках до виправлених версій (https://www.php.net/archive/2026.php#2026-10-21-5) та перезапустити сервіси PHP (systemctl restart php-fpm). Це єдиний підтверджений і надійний шлях повного захисту.
2. Використання WAF та мережевих правил: Компанії Akamai та Cloudflare випустили оновлені правила безпеки для WAF, спрямовані на блокування спроб експлуатації PHP2Shell. Наголошуємо, що застосування правил WAF є лише тимчасовим заходом стримування, а єдиним підтвердженим способом захисту залишається оновлення самого інтерпретатора PHP.
( https://www.akamai.com/…/critical-remote-code-execution…, https://blog.cloudflare.com/php-vulnerabilities-waf…/ )
3. Тимчасові заходи (для EOL-версій або до моменту патчингу):
– Вимкніть відстеження завантаження файлів у сесіях, встановивши параметр session.upload_progress.enabled = Off у файлі php.ini, та перезапустіть PHP-сервіс.
– Обмежте мережевий доступ до вебсерверів (за можливості)
4. Аналіз та реагування:
– Перевірте журнали та налаштуйте виявлення підозрілих дочірніх процесів, що породжуються PHP (зокрема запуск /bin/sh, bash, powershell, curl, wget, тощо від імені php-fpm, httpd, nginx).
– Перевірте вебдиректорії на появу невідомих або нещодавно змінених скриптів, а систему на наявність нових запланованих задач чи облікових записів, створених без вашого відома.
– Якщо виявлено ознаки несанкціонованого доступу, змініть паролі та ключі доступу, що використовувалися на сервері, і якнайшвидше повідомте про інцидент CERT-UA.
