Стежити Адміністратори PHP стикаються з терміновим оновленням безпеки після того, як відповідальні за обслуговування оголосили про випуск позапланового оновлення для вирішення двох критичних вразливостей. Помилки, які відслідковуються дослідниками безпеки як CVE-2026-109618 і CVE-2026-109619, отримали оцінку CVSS v4.0 9.2 від команди безпеки PHP. Дослідники з watchTowr описують обидві проблеми як вразливості віддаленого виконання коду.
Екстрений випуск запланований на 21 жовтня 2026 року о 14:00 UTC. PHP перенесла розкриття дати після того, як інформація про вразливості просочилася раніше запланованої дати координованого випуску. На момент написання статті PHP не розкрила вразливі компоненти, вимоги до експлуатації, уразливі версії або технічні причини і повідомляє, що ці деталі будуть представлені разом з оновленням безпеки.
Дослідники неформально назвали пару вразливостей “PHP2Shell”, хоча ця назва не походить від проекту PHP. Раннє витікання інформації стверджувало, що вразливості можуть вплинути на релізи PHP, починаючи з PHP 5, і присвоїли їм оцінки CVSS 10.0. Однак офіційна оцінка PHP становить 9.2, і заявлений діапазон версій ще не підтверджений офіційним повідомленням постачальника.
Потенційний вплив залишається значним. PHP живить велику кількість вебсайтів, веб-додатків, систем управління контентом, платформ електронної комерції, API, панелей керування хостингом та налагоджених корпоративних служб. Якщо віддалене виконання коду підтверджується у широко застосовуваних конфігураціях, успішна експлуатація може дати зловмисникам прямий шлях від відкритого веб-додатка до компрометації сервера.
Команди безпеки, які шукають можливості виявлення CVE-2026-109618, повинні пріоритезувати моніторинг на базі поведінки, поки немає специфічних для використання підписів. Підозріла активність включає неочікувані запуски shell, інтерпретаторів, утиліт командного рядка або інструментів завантаження PHP чи процесів веб-сервера.
Клієнти SOC Prime можуть використовувати інтелектуальну платформу AI-Native Detection для доступу до постійно оновлюваного вмісту для виявлення експлуатації вразливості та пов’язаних з нею пост-компрометаційних дій. Правила виявлення можна застосувати в різних середовищах SIEM, EDR та Data Lake, узгодивши їх з фреймворком MITRE ATT&CK®.
Натисніть Досліджувати виявлення щоб отримати доступ до відповідного вмісту SOC для нових вразливостей. Для виявлення CVE-2026-109619 та спроб експлуатації, захисники повинні комбінувати аналітику поведінки з телеметрією веб-сервера, кінцевої точки та мережі, по мірі доступності технічної інформації.
Команди безпеки також можуть використовувати Prime Architect для перетворення нової розвідки про вразливості в правила Sigma та спеціалізовані пошукові запити, перевірки логіки виявлення, візуалізації потенційних Attack Flow та швидкого перекладу контенту виявлення між підтримуваними платформами безпеки.
Звернутися до відділу продажів
Аналіз CVE-2026-109618 і CVE-2026-109619
20 жовтня 2026 року команда безпеки PHP видала заздалегідь попередження, що дві критичні вразливості будуть усунені через винятковий випуск безпеки наступного дня. Обидві отримали рейтинг CVSS v4.0 9.2, і адміністраторам рекомендували готуватися до негайних оновлень. PHP також залишила за собою можливість випустити виправлення раніше у разі публічного розголосу технічної інформації або активного навмисного використання.
Оголошення відбулося після витоку інформації про дві вразливості під ембарго. Просочений матеріал виявив CVE-2026-109618 і CVE-2026-109619 та охарактеризував обидві як помилки віддаленого виконання коду. watchTowr згодом підтвердила BleepingComputer, що вразливості реальні, і повідомила, що його дослідники вважають, що їм вдалося відтворити одну з них.
Однак, є важливі відмінності між просоченою інформацією та тим, що офіційно підтверджено PHP.
PHP присвоїла обом вразливостям оцінку CVSS v4.0 9.2 замість рейтингу CVSS 10.0, який циркулює у витоках. PHP також не підтвердила, які гілки є вразливими, чи вимагає експлуатація певної моделі чи конфігурації розгортання PHP або чи є необхідність у аутентифікації.
Ствердження, що CVE-2026-109618 впливає на версії PHP 5, 6, 7 і 8, походять від досліджень та просоченої інформації, а не від офіційного повідомлення PHP. Сам watchTowr відзначає, що цей діапазон ще не підтверджено постачальником.
Тому ретельний аналіз CVE-2026-109618 потребує відокремлення підтверджених фактів від попередніх досліджень. Наразі підтверджено, що PHP вважає дві вразливості критичними, обидві отримали оцінку 9.2, і вважає, що ризик вимагає екстреного позапланового випуску безпеки. Дослідники характеризують помилки як вразливості типу RCE, але їхній основний механізм залишається під ембарго.
Це розрізнення також має значення при оцінюванні застарілих середовищ PHP. Проект PHP наразі надає оновлення безпеки лише для підтримуваних гілок 8.2 до 8.5. PHP 8.2 та 8.3 отримують виправлення безпеки, тоді як 8.4 та 8.5 залишаються під активною підтримкою. Старіші гілки, включаючи PHP 8.1, 8.0, PHP 7.x та PHP 5.x, досягли кінця життя і не отримують оновлень, якщо зрештою виявлять їх уразливість.
Це може створити особливо складний сценарій відновлення для організацій, які експлуатують старі додатки, які неможливо легко перенести. Системи PHP з інтернет-середовищем старої версії становитимуть значну проблему, якщо підтвердиться заявлене широке експонування версій.
На момент написання статті немає загальнодоступного PoC для CVE-2026-109618. watchTowr стверджує, що вважає, що вдалося успішно відтворити проблему, але навмисне утримує технічну інформацію до того часу, поки не будуть доступні виправлення безпеки. Huntress також не відтворила вразливостей і була не в курсі загальнодоступного коду експлуатації.
Не було помічено жодної активної експлуатації згідно з даними дослідників, що цитуються в обох звітах станом на 21 жовтня. Також вразливості не були включені в каталог відомих експлуатованих вразливостей CISA на момент звіту від The Hacker News.
Отже, IOCs для CVE-2026-109619 ще не були опубліковані. Наразі немає підтверджених злонісних IP-адрес, доменів, хешів корисних навантажень, шаблонів запитів експлуатації або інших індикаторів, специфічних для кампанії, прямо пов’язаних з експлуатацією цієї вразливості.
Поки деталі експлуатації не стануть доступними, захисники повинні замість цього контролювати загальні ознаки компрометації сервера PHP. До важливих поведінкових ознак належать запуск оболонок, скриптових машин, утиліт завантаження або інших неочікуваних виконуваних файлів php-fpm, php-cgi, httpd або apache2. Нові веб-оболонки, необґрунтовані зміни у кореневій веб-структурі, cron-роботи, заплановані задачі, новостворені облікові записи та аномальні вихідні з’єднання також повинні спричинити розслідування.
Очікується, що точні деталі CVE-2026-109619 уточнять вразливий компонент PHP, передумови атаки, уразливі гілки, залежності від конфігурації та виправлені версії, як тільки PHP опублікує випуск безпеки.
Пом’якшення CVE-2026-109618 та CVE-2026-109619
Адміністратори PHP повинні спочатку створити точний інвентар кожного розгортання PHP у середовищі. Це включає звичайні веб-сервери Linux і Windows, а також рантайми PHP, вбудовані в пристрої, сторонні додатки, платформи хостингу та продукти адміністрування, такі як cPanel чи Plesk.
Для негайного пом’якшення CVE-2026-109619, організації повинні підготуватися до впровадження екстреного оновлення безпеки PHP, як тільки будуть доступні виправлені версії. Інтернет-середовища, що є обличчям користувачів, повинні мати найвищий пріоритет, оскільки системи з віддаленим доступом зазвичай представляють найбільшу можливість для експлуатації.
Організації, що використовують пакети PHP, постачені дистрибуцією, повинні перевірити свого вендора Linux або провайдера хостингу на предмет повернених назад оновлень безпеки, а не вважати, що номер версії PHP від постачальника визначає експозицію.
Застарілі установки PHP потребують особливої уваги. Якщо вразливий додаток працює на версії PHP, яка досягла кінця життя і для якої не буде доступно офіційного виправлення, організації повинні пріоритезувати міграцію до підтримуваної гілки. Де негайна міграція неможлива, експозицію слід зменшити шляхом обмеження зовнішнього доступу, розміщення додатка за відповідними мережевими контролями або тимчасової ізоляції системи.
Керівництво CERT-EU, про яке згадувалося у The Hacker News, рекомендує розглянути ізоляцію додатків, що звернені до інтернету, від загальнодоступних мереж, коли неможливо одразу застосувати виправлення.
Захисникам слід додатково посилити моніторинг навколо виконання PHP. Оповіщати, коли працівники PHP або процеси веб-серверів запускають утиліти, такі як оболонки, PowerShell, Bash, Python, Perl, curl, wget або інші програми, які неочікувані для додатка.
Якщо підозрюється експлуатація, ізолюйте уражений сервер та збережіть докази перед відновленням. Відповідні артефакти включають:
- Журнали доступу та помилок веб-сервера
- Журнали додатків PHP та рантайму
- Телеметрія кінцевих точок і процесів
- Нещодавно створені або змінені файли
- Вміст веб-кореня
- Завдання cron та заплановані завдання
- Нещодавно створені облікові записи або ключі SSH
- Вихідні мережеві з’єднання
- Аутентифікація та адміністративна діяльність
Команди безпеки також повинні здійснювати ретроспективне полювання після того, як будуть випущені технічні індикатори. Якщо публічно стануть відомі шаблони HTTP-запитів, специфічні для експлуатації, або характеристика корисного навантаження, історична веб- та проксітелеметрія може виявити спроби компрометації, що відбулися до застосування виправлень.
Організації повинні уникати покладатися лише на WAF як на постійну заміну патчам. Поки не розкриті технічні причини, немає підтвердженого загального правила WAF, яке може надійно блокувати обидві вразливості без знання механізмів їх експлуатації.
Завдяки використанню AI-Native Detection Intelligence Platform від SOC Prime, команди безпеки можуть безперервно зміцнювати свою детекційну позицію, коли з’являється нова розвідка про ці вразливості PHP.
Увага: Вміст для виявлення може не бути доступним для кожного CVE. Перевірте платформу SOC Prime для оцінки поточного покриття. Якщо актуальні виявлення ще не доступні, перевірте пізніше, оскільки нова розвідка загроз та вміст для виявлення додаються постійно.
FAQ
Що таке CVE-2026-109618 і CVE-2026-109619 і як вони працюють?
CVE-2026-109618 і CVE-2026-109619 – це дві критичні вразливості PHP, які дослідники з watchTowr описують як вразливості віддаленого виконання коду. PHP офіційно підтвердила два критичні питання з оцінками CVSS v4.0 9.2, але поки що не розкрила їх технічні підгрунтя чи механізми експлуатації. На момент написання, отже, неможливо надійно описати точний потік атаки. Очікується, що PHP опублікує технічну інформацію з екстреним випуском безпеки.
Коли CVE-2026-109618 і CVE-2026-109619 були вперше виявлені?
Інформація про вразливості стала загальнодоступною 20 жовтня 2026 року після того, як деталі двох вразливостей PHP під ембарго просочилися раніше запланованого їх розкриття. PHP випустила своє офіційне попередження пізніше того дня і запланувала екстрений випуск безпеки на 21 жовтня 2026 року о 14:00 UTC.
Який вплив CVE-2026-109618 та CVE-2026-109619 на системи?
Дослідники безпеки охарактеризували обидві вразливості як питання віддаленого виконання коду. Якщо ця оцінка підтверджується PHP, успішна експлуатація потенційно може дозволити зловмиснику виконати код на вразливому сервері PHP і продовжити розгортання шкідливого ПЗ, крадіжку облікових даних, збереження, бічний рух або доступ до даних в залежності від прав ураженого сервісу. PHP поки що не опублікувала точні умови експлуатації, тому точний вплив та передумови все ще підлягають майбутньому консультаційного повідомлення від постачальника.
Чи можуть CVE-2026-109618 та CVE-2026-109619 впливати на мене в 2026 році?
Так. На момент написання 21 жовтня 2026 року, екстрений випуск безпеки запланований на 14:00 UTC і вразливості залишаються незалатаними в поточно розгорнутих релізах. Дослідники стверджували, що версії PHP, починаючи з PHP 5, можуть бути під впливом, але PHP офіційно не підтвердила цей діапазон версій. Організації повинні інвентаризувати всі розгортання та використовувати майбутнє повідомлення від постачальника для визначення фактичної експозиції.
Як я можу захиститися від CVE-2026-109618 та CVE-2026-109619?
Підготуйтеся до встановлення оновлень безпеки PHP негайно, як тільки вони будуть випущені, пріоритезуючи сервери з інтернет-доступом. Інвентаризуйте установки PHP, в тому числі рантайми, вбудовані в додатки та пристрої, і визначте системи, що працюють на гілках, які досягли кінця життя. Поки виправлення не будуть застосовані, збільшіть моніторинг для виявлення незвичних дочірніх процесів PHP і виконання команд на стороні сервера. Системи, які не можуть бути негайно виправлені, повинні мати знижений зовнішній доступ або, де можливо, бути тимчасово ізольовані. Якщо виявлено підозрілу активність, ізолюйте сервер та зберігайте телеметрію веб, PHP, кінцевих точок і мережі для судової експертизи.
