Центр безопасности Tencent Cloud опубликовал предупреждение 21 октября об уязвимости php2shell, позволяющей удалённо выполнять код в PHP. Она затрагивает две уязвимости с номерами CVE-2026-109618 и CVE-2026-109619.
Опасность этой уязвимости в том, что злоумышленнику не нужно входить в систему или иметь учётную запись: достаточно отправить специально сформированный POST-запрос с multipart-данными, чтобы вызвать повреждение памяти и получить возможность удалённо выполнять код. Теоретически это позволяет полностью контролировать уязвимый сервер. Уязвимости на уровне языка программирования могут серьёзно осложнить работу традиционных сервисов, размещённых в облаке.
Белый дом США узнал об этой проблеме ещё 16 октября и сейчас координирует действия с федеральными ведомствами, системными интеграторами и сетевыми операторами, чтобы ускорить выпуск исправлений и оценить последствия для государственных систем и критической инфраструктуры. Одновременное подключение облачных провайдеров и правительства показывает, что этот риск уже перерос рамки «обычной ошибки в ПО с открытым исходным кодом» и стал угрозой на уровне инфраструктуры.
Пока не опубликованы подробности о том, какие версии затронуты, и о сроках выпуска официальных исправлений. В ближайшее время разумнее всего проверить, зависит ли ваша инфраструктура от стека PHP, и следить за рекомендациями поставщиков по устранению уязвимости. К этому инциденту стоит отнестись как к проверке безопасности инфраструктуры, а не просто пролистать новость.
Опасность этой уязвимости в том, что злоумышленнику не нужно входить в систему или иметь учётную запись: достаточно отправить специально сформированный POST-запрос с multipart-данными, чтобы вызвать повреждение памяти и получить возможность удалённо выполнять код. Теоретически это позволяет полностью контролировать уязвимый сервер. Уязвимости на уровне языка программирования могут серьёзно осложнить работу традиционных сервисов, размещённых в облаке.
Белый дом США узнал об этой проблеме ещё 16 октября и сейчас координирует действия с федеральными ведомствами, системными интеграторами и сетевыми операторами, чтобы ускорить выпуск исправлений и оценить последствия для государственных систем и критической инфраструктуры. Одновременное подключение облачных провайдеров и правительства показывает, что этот риск уже перерос рамки «обычной ошибки в ПО с открытым исходным кодом» и стал угрозой на уровне инфраструктуры.
Пока не опубликованы подробности о том, какие версии затронуты, и о сроках выпуска официальных исправлений. В ближайшее время разумнее всего проверить, зависит ли ваша инфраструктура от стека PHP, и следить за рекомендациями поставщиков по устранению уязвимости. К этому инциденту стоит отнестись как к проверке безопасности инфраструктуры, а не просто пролистать новость.