21 октября 2026 года вышли патчи PHP против PHP2Shell: две критические уязвимости, которые позволяют без авторизации выполнить код на сервере. Обновить PHP нужно в любом случае. Но если через уязвимость утекут персональные данные пользователей, компании грозит штраф до 15 млн руб. И в суде будут смотреть, есть ли документы о том, когда и как вы закрыли уязвимость. Ниже — технический чек-лист с юридическими пояснениями: что сделать, что сохранить и когда звать юриста.
Коротко об уязвимости
PHP2Shell — общее название двух уязвимостей в ядре интерпретатора PHP: CVE-2026-109618 и CVE-2026-109619. Обе получили 9,2 из 10 по CVSS 4.0 и позволяют удаленно выполнить произвольный код (RCE) без авторизации.
Исправления вышли в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Все, что ниже, уязвимо, и это касается WordPress, 1С-Битрикс, Drupal, OpenCart, Laravel и других проектов. Обновление CMS или фреймворка не помогает: проблема в самом интерпретаторе.
