PHP2Shell: как защитить уязвимые приложения на PHP во время установки патчей

Кратко: PHP2Shell включает в себя две критические уязвимости, которые могут позволить неавторизованным злоумышленникам выполнять код в уязвимых инсталляциях PHP. Исследователи безопасности сообщили о попытках эксплуатации, кроме того, эти уязвимости могут привести к утечке конфиденциальной информации из памяти воркеров PHP. Платформа и сервисы Aquasec не подвержены уязвимости PHP2Shell, однако у клиентов, запускающих приложения на PHP, в окружениях могут находиться уязвимые рабочие нагрузки. Aquasec предоставляет средства обнаружения уязвимостей и контроля рантайма для выявления подверженных риску систем и ограничения поддерживаемых несанкционированных действий на время установки клиентами обновлений безопасности.

Что представляют собой уязвимости PHP2Shell?

Под PHP2Shell понимаются две критические уязвимости удаленного выполнения кода (CVE-2026-109618 и CVE-2026-109619), затрагивающие среду выполнения PHP. Обе они имеют оценку критичности 9.2 по шкале CVSS v4.0 и могут позволить неавторизованным злоумышленникам выполнять код в уязвимых инсталляциях.

Уязвимости затрагивают сам PHP, а не код отдельного приложения, что означает: приложения могут быть уязвимы даже тогда, когда их собственный код написан безопасно. В число уязвимых веб-окружений входят PHP-FPM, Apache с модулем mod_php, PHP-CGI, FrankenPHP и LiteSpeed. Исследователи определили конфигурацию Apache mod_php как представляющую особую опасность, поскольку продемонстрированный эксплойт может выполниться до запуска кода приложения.

Проект PHP выпустил следующие исправленные версии 21 октября 2026 года.

PHP 8.1 и более старые версии больше не поддерживаются проектом PHP, однако поставщики дистрибутивов могут предоставлять исправления безопасности в виде бэкпортированных пакетов. Организациям следует проверять устранение уязвимостей у своего поставщика, а не полагаться исключительно на номер версии.

Почему уязвимости PHP2Shell требуют немедленных действий?

Исследователи безопасности сообщили о попытках эксплуатации обеих уязвимостей PHP2Shell. 21 октября компания watchTowr сообщила о попытках атак, нацеленных на оба CVE, в то время как Cloudflare зафиксировала вредоносный трафик и попытки модификации полезной нагрузки для обхода развернутых защит файрвола. На момент публикации этих отчетов не было публично подтверждено ни одного случая успешного взлома конкретного сервера.

Уязвимости также создают потенциальный риск раскрытия информации. Исследователи продемонстрировали, что злоумышленники могут считывать конфиденциальную информацию из памяти воркеров PHP без предварительного получения возможности удаленного выполнения кода. Эта информация может включать пароли, токены аутентификации, ключи API и другие конфиденциальные данные, связанные с работой приложения.

Сочетание потенциального выполнения кода и утечки данных из памяти делает быстрое устранение уязвимостей крайне важным. Командам безопасности необходимо выявить уязвимые инсталляции PHP, применить обновления безопасности и убедиться в том, что исправленная среда выполнения активна.

Исследования уязвимостей с помощью ИИ добавляют еще один аспект. Исследователи сообщили об использовании ИИ-инструментов для создания работающих эксплойтов для давних уязвимостей PHP, что иллюстрирует, как быстро ранее незамеченные слабые места могут превратиться в реальную угрозу. Командам безопасности необходимо снижать риски в продакшене по мере устранения уязвимостей, а не полагаться исключительно на графики выпуска патчей.

Затронута ли компания Aquasec уязвимостью PHP2Shell?

Платформа и сервисы Aquasec не подвержены уязвимостям CVE-2026-109618 и CVE-2026-109619. Беспокойство для клиентов представляет то, содержат ли приложения на базе PHP, работающие в их собственных окружениях, уязвимые инсталляции PHP.

Клиентам следует проверить образы контейнеров и работающие рабочие нагрузки на предмет уязвимых версий PHP, особенно в приложениях, имеющих доступ к интернету. Тот факт, что сама Aquasec не подвержена уязвимости, не означает, что приложения, защищенные Aquasec, автоматически защищены от этих уязвимостей.

Aquasec предоставляет средства обнаружения уязвимостей для помощи клиентам в выявлении затронутых образов, а также средства контроля безопасности рантайма, которые могут снизить риски несанкционированных действий во время устранения уязвимостей.

Почему одного лишь сканирования уязвимостей недостаточно?

Сканирование уязвимостей выявляет затронутое ПО, однако сам факт обнаружения не означает, что риск устранен. Организации должны найти уязвимые образы, обновить среду выполнения PHP, протестировать совместимость приложений и повторно развернуть исправленные рабочие нагрузки.

Устранение уязвимостей может быть более сложным для приложений, зависящих от старых версий PHP или устаревших компонентов. В ходе этого процесса уязвимые рабочие нагрузки могут оставаться в продакшене, даже когда команды безопасности знают, какие системы требуют внимания.

Безопасность рантайма обеспечивает дополнительный уровень контроля, ограничивая поддерживаемые несанкционированные действия внутри работающих нагрузок. Обнаружение уязвимостей Aquasec помогает выявить затронутые образы, а контекст рантайма помогает командам расставить приоритеты для тех из них, которые развернуты в данный момент.

Ни сканирование, ни механизмы принудительного контроля в рантайме не устраняют саму первопричину уязвимости. Цель состоит в том, чтобы выявить подверженность рискам, ограничить поведение, которое можно контролировать с помощью политик рантайма, и завершить исправление как можно быстрее.

Как безопасность рантайма может снизить риски, связанные с PHP2Shell?

Механизмы контроля в рантайме могут ограничивать поведение, к которому злоумышленники могут прибегнуть после получения возможности выполнения кода, включая запуск неавторизованных шеллов, выполнение недавно добавленных бинарных файлов или установку запрещенных исходящих соединений. Эти элементы управления могут ограничить действия злоумышленника, даже пока базовая уязвимость PHP остается актуальной.

Тем не менее PHP2Shell демонстрирует границы таких средств защиты. Утечка данных из памяти может происходить внутри существующего воркера PHP без запуска другого процесса или внедрения нового исполняемого файла. Средства контроля, предназначенные для ограничения подобных действий, не обязательно помешают злоумышленнику прочитать конфиденциальную память процесса.

Поэтому защита рантайма должна дополнять обновления безопасности. Организациям необходимо пропатчить уязвимую среду выполнения и одновременно использовать средства контроля для снижения рисков атакующих действий в процессе устранения уязвимостей.

Как Aquasec защищает рабочие нагрузки PHP?

Aquasec применяет политики безопасности внутри работающих нагрузок, позволяя командам безопасности ограничивать несанкционированные действия без опоры исключительно на специфичные для уязвимостей сигнатуры.

Четыре области контроля рантайма особенно важны для рабочих нагрузок PHP.

Ограничение несанкционированного выполнения процессов. Политики рантайма могут запретить рабочим нагрузкам PHP запуск ненужных шеллов и утилит для скачивания, таких как `sh`, `bash`, `curl` и `wget`. Это может пресечь попытки выполнения дополнительных команд или загрузки вредоносных полезных нагрузок.

Предотвращение несанкционированных изменений исполняемых файлов. Функция Aquasec Drift Prevention может блокировать запуск исполняемых файлов, которых не было в исходном образе контейнера. Это помогает ограничить использование недавно добавленных вредоносных бинарных файлов, хотя само по себе не запрещает PHP-скрипту выполняться через существующий интерпретатор.

Ограничение несанкционированной сетевой активности. Надлежащие сетевые средства контроля рантайма могут ограничить ненужные исходящие соединения и помочь предотвратить некоторые виды обратных шеллов (reverse shell) или связь с инфраструктурой злоумышленника.

Защитите файлы приложений. Мониторинг целостности файлов позволяет обнаруживать несанкционированные изменения в критически важных директориях приложений. Ограничения на модификацию файлов при правильной настройке могут предотвращать изменения, включая вмешательство в корневые каталоги PHP-приложений, куда могут внедряться вредоносные скрипты.

Эффективность этих мер защиты зависит от охвата рабочей нагрузки, конфигурации политик и используемой техники атак. В режиме принудительного применения проверенные политики могут блокировать поддерживаемые несанкционированные действия. Их не следует рассматривать как полную защиту от уязвимости PHP2Shell, особенно в отношении зафиксированного пути раскрытия памяти.

Как клиенты Aquasec могут выявить уязвимые рабочие нагрузки?

Aquasec обеспечивает обнаружение уязвимостей CVE-2026-109618 и CVE-2026-109619 для поддерживаемых рабочих нагрузок PHP, включая образы контейнеров, использующие стандартные пакеты дистрибутивов Linux и официальные образы PHP.

Клиентам следует выполнить полное сканирование образов контейнеров и проанализировать связанные запущенные рабочие нагрузки, чтобы выявить затронутые установки PHP. Сочетание результатов поиска уязвимостей с контекстом рабочей нагрузки помогает командам расставить приоритеты для уязвимых образов, которые находятся в активном развертывании, особенно тех, которые поддерживают общедоступные приложения.

После применения патчей командам следует пересобрать затронутые образы, повторно развернуть их и выполнить сканирование повторно для подтверждения устранения проблемы. При анализе результатов также следует учитывать бэкпорты безопасности конкретных дистрибутивов.

Подробные рекомендации по выявлению уязвимых рабочих нагрузок, настройке средств контроля времени выполнения и применению обновлений безопасности см. в статье базы знаний Aquasec.

Что организациям следует предпринять прямо сейчас?

Организациям следует расставить приоритеты для пяти действий.

• Выявите затронутые установки PHP. Проведите инвентаризацию образов контейнеров и работающих нагрузок, включая устаревшие версии PHP и приложения, смотрящие в интернет.
• Примените официальные обновления безопасности. Обновите среду выполнения PHP, а не только само приложение. Перезапустите Apache, PHP-FPM и другие долго работающие процессы PHP, чтобы активировать исправленную среду выполнения.
• Проверьте политики времени выполнения. Проверьте применимые элементы управления в режиме аудита (где это поддерживается), изучите легитимное поведение приложения и переведите соответствующие политики в режим принудительного применения (Enforce).
• Выполните полное сканирование и подтвердите устранение уязвимости. Пересоберите и повторно разверните исправленные образы, выполните полное сканирование рабочих нагрузок и убедитесь, что задействованы исправленные пакеты или среды выполнения. При необходимости проконсультируйтесь с поставщиками дистрибутивов относительно бэкпортированных исправлений.
• Используйте временные меры снижения рисков исключительно в качестве временного решения. Ознакомьтесь с официальными рекомендациями Aquasec по минимизации рисков, если немедленное обновление невозможно. Эти меры снижают подверженность определенным векторам атак, но не заменяют патчи.

Клиенты Aquasec, которым требуется помощь в проверке своей среды, могут связаться со своей командой сопровождения или открыть тикет в службе поддержки через портал поддержки Aquasec. Дополнительную информацию см. в статье базы знаний.

PHP2Shell подтверждает необходимость сочетания обнаружения уязвимостей, своевременного устранения и контроля времени выполнения. Платформа и сервисы Aquasec не подвержены данным уязвимостям, но клиентам, использующим приложения на PHP, следует определить степень своего воздействия и применить доступные исправления. Принудительный контроль времени выполнения обеспечивает дополнительный уровень защиты в процессе устранения уязвимостей, помогая ограничить поддерживаемую несанкционированную активность, не гарантируя при этом блокировку каждого возможного вектора эксплуатации.

Часто задаваемые вопросы

Подвержена ли компания Aquasec уязвимости PHP2Shell?

Нет. Платформа и сервисы Aquasec не подвержены уязвимостям CVE-2026-109618 или CVE-2026-109619. Тем не менее, у клиентов, использующих приложения на базе PHP, в окружении могут находиться уязвимые рабочие нагрузки.

Эксплуатируется ли PHP2Shell в настоящее время?

Исследователи безопасности сообщили о попытках эксплуатации обеих уязвимостей. В отчетах, опубликованных по состоянию на 21 октября 2026 года, не было подтверждено ни одного успешного взлома конкретного сервера. Организациям следует рассматривать эти уязвимости как критические и незамедлительно применять официальные обновления безопасности.

Может ли Aquasec предотвратить эксплуатацию PHP2Shell?

Средства принудительного контроля времени выполнения Aquasec могут ограничивать поддерживаемые несанкционированные действия, включая определенное выполнение процессов, изменение исполняемых файлов и сетевую активность. Эти элементы управления не гарантируют защиту от каждого вектора эксплуатации или от описанного риска раскрытия памяти.

Заменяет ли защита времени выполнения Aquasec установку исправлений?

Нет. Средства контроля времени выполнения могут снизить подверженность определенным типам атак на время устранения проблемы, однако для устранения базовых уязвимостей все равно необходимо обновление PHP.

Как клиенты могут убедиться, что устранение уязвимостей завершено?

Клиенты Aquasec должны выполнить полное сканирование обновленных образов контейнеров и проверить рабочие нагрузки, чтобы убедиться в развертывании исправленных пакетов или сред выполнения PHP. Они также должны убедиться, что долго работающие PHP-процессы были перезапущены и что в рабочей среде не осталось уязвимых нагрузок.

Aqua Security — пионер в обеспечении безопасности контейнеризированных облачных нативных приложений от разработки до эксплуатации. Комплексное решение Aqua предотвращает атаки путем обеспечения соблюдения стандартов гигиены безопасности до развертывания и смягчает атаки в реальном времени в продакшене, сокращая время до устранения и общие бизнес-риски. Платформа Aqua, представляющая собой платформу защиты облачных нативных приложений (CNAPP), объединяет средства безопасности от кода до облака, сочетая в себе возможности технологий с агентами и без агентов. Обеспечивая масштабируемость корпоративного уровня, которая не замедляет циклы разработки, Aqua защищает ваше будущее в облаке. Основанная в 2015 году, компания Aqua со штаб-квартирой в Бостоне (штат Массачусетс, США) и Рамат-Гане (Израиль) защищает более 500 крупнейших мировых предприятий.