У PHP виявили дві критичні вразливості, які дозволяють зламати сервер без пароля
У PHP виявили дві критичні вразливості, через які зловмисники можуть віддалено виконувати власний код на сервері без автентифікації. Розробники вже випустили виправлення та закликають користувачів негайно оновити програмне забезпечення.
Проблема стосується також деяких сайтів на WordPress. Про це йдеться в офіційному повідомленні PHP.
Вразливості отримали ідентифікатори CVE-2026-109618 та CVE-2026-109619, а також спільну неофіційну назву PHP2Shell.
Підписуйтеся на наші соцмережі
- Перша пов’язана з помилкою під час обробки нестачі пам’яті.
- Друга — зі збереженням застарілого внутрішнього стану між запитами.
У разі успішної атаки зловмисник може виконувати код на вразливому сервері.
Як захистити сайт
Виправлення доступні у версіях PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. Власникам сайтів варто перевірити версію PHP і звернутися до хостинг-провайдера щодо встановлення оновлень. Це стосується всіх PHP-систем, які обробляють вебзапити, зокрема PHP-FPM та Apache з mod_php.
У WordPress версію PHP можна перевірити в розділі:
-
1
Інструменти,
-
2
Здоров’я сайту,
-
3
Інформація,
-
4
Сервер.
Якщо сайт працює на PHP 8.1 або старішій версії, слід уточнити в хостера, чи доступне виправлення: ці версії вже не отримують звичайних оновлень безпеки від команди PHP, хоча окремі постачальники можуть випускати власні патчі.
Оновлення WordPress або його плагінів саме по собі не усуває вразливість у PHP. Європейські органи з кібербезпеки також закликали організації терміново перевірити свої системи та встановити доступні виправлення.