PHP Выпуск экстренных патчей для двух критических PHF2Shell RCE Flaws как эксплуатационные попытки

PHP выпустила экстренные обновления, которые исправляют два важнейших недостатка в самом языке, позволив атакующему человеку без кода запуска счетов на веб-сервере. Эти исправления содержатся в PHP 8.5.12, 8.4.27, 83.36 и 8.2.35, а группа PHF говорит, что только обновление полностью защищает сервер. Недостатки, которые вместе называют PHP2Shell, находятся в режиме запуска PHF, а не в любом приложении. Таким образом, сайт обнаружается даже при защищенном коде. Риск наиболее высок на серверах с использованием мод_php Apache, где рабочая эксплуатация вызывает атаку до запуска любого кода приложения. Оба эти недостатка оцениваются по шкале CVSS v4,0 и имеют идентификаторы CVE-2026-109618 и CVЕ2026-109719. PHP опубликовал их примерно в 14:00 UTC 21 октября, на следующий день после того как подробности слились до запланированного 22 октября. Исследователи из Wiz, Calif и OpenAI обнаружили и сообщили о недостатках, которые влияют почти на каждую версию PHP в PSD 5.4. Кто влияет на каждую установку PHP, которая обслуживает веб-запросы, находится под угрозой, включая PHD-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed, согласно рекомендации по безопасности PGP. Поскольку недостатки находятся в двигателе, а не в коде любого сайта, даже простая страница "Hello World" на уязвимой версии PHP может быть атакована. В консультативном документе mod_php выделяется как наиболее высокий риск с продемонстрированной эксплуатацией, в которой один неподтвержденный запрос вызывает атаку до…