Уязвимости PHP2Shell: старый код ставит под угрозу 70% веб-инфраструктуры
Недавнее обнаружение уязвимостей в PHP, получившее название PHP2Shell, вновь продемонстрировало, что даже устаревшие технологические слои могут представлять серьезную угрозу для глобальной веб-инфраструктуры. Две конкретные уязвимости, CVE-2026-109618 и CVE-2026-109619, позволили злоумышленникам получить доступ к неисправленным системам PHP без необходимости вводить учетные данные или пароли.
Особую тревогу вызывает тот факт, что около 70% всего веб-интернета полагается на язык PHP. Это включает в себя популярные системы управления контентом, такие как WordPress, Drupal и Joomla. Уязвимость в таком фундаментальном слое означает, что атака может затронуть миллионы сайтов одновременно, превращая проблему в общеинтернетную координационную задачу.
Эти ошибки были особенно опасны, поскольку они обеспечивали удаленное выполнение кода (RCE) и неаутентифицированный доступ. Это означает, что злоумышленнику не нужно было, чтобы жертва кликнула на ссылку; достаточно было, чтобы система, доступная из интернета, была не обновлена.
Хотя Фонд PHP оперативно выпустил исправления после скоординированного раскрытия, Amazon обнаружил эксплуатацию этих уязвимостей примерно за неделю до публичного релиза патчей. Это подчеркивает, что даже при слаженной работе, скорость обнаружения и реакции критически важна.
Эксперты отмечают, что хотя искусственный интеллект ускоряет поиск таких недостатков, основная проблема остается структурной: необходимо идентифицировать все зависимые системы и обеспечить их своевременное обновление. PHP2Shell — это предупреждение о невидимых зависимостях, присутствующих не только в PHP, но и в маршрутизаторах, файрволах и других корпоративных системах.