Исследователи сообщили о двух уязвимостях удаленного выполнения кода — CVE-2026-109618 и CVE-2026-109619, получивших название PHP2Shell. Команда PHP оценила две критические проблемы в 9,2 балла по CVSS v4.0. Уже появились сообщения о первых атаках: об их обнаружении объявил CTO Cloudflare, сообщает Reuters.

Официальный версия исправлений запланирован на 21 октября, 17:00 МСК. Точный перечень затронутых и исправленных версий авторы должны опубликовать наряду с обновлением.

«Гарда WAF» обеспечивает дополнительную защиту веб-приложений и api. Аналитика трафика, выявление аномалий и конфигурация правил фильтрации позволяют минимизировать риски атак, в том числе на ранее неизвестные уязвимости. Компенсирующие меры на уровне WAF особенно актуальны до установки патчей, но не заменяют обновление PHP.

По предварительной оценке GMO Flatt Security, PHP2Shell связан с обработкой сессий и механизмом Session Upload Progress в ext/session. В качестве частичной меры обсуждается отключение функции:

session.upload_progress.enabled = Off

Одной этой настройки нев достаточной степени. По оценке исследователей, после ее изменения эксплуатация может оставаться возможной. Считать сервер защищенным только на основании отключения функции нельзя.

Рекомендуем проверить используемые версии PHP, подготовить установку исправлений и усилить мониторинг веб-приложений. Для проверки настроек «Гарда WAF» и применимости защитных правил к PHP2Shell обратитесь в техническую поддержку.