Websecurity - Веб безпека

У жовтні 2026 року в ядрі інтерпретатора PHP було виявлено пару критичних уразливостей CVE-2026-109618 та CVE-2026-109619, які отримали спільну назву PHP2Shell. Ця проблема викликала серйозне занепокоєння у світі, оскільки зачепила майже 70% веб сайтів в Інтернеті, що використовують PHP, зокрема на WordPress, Drupal, Joomla, Magento та інших.

Головне про атаку на ці уразливості в PHP.

Уразливості мають критичний рейтинг безпеки CVSS 9.2. Вони дозволяють зловмисникам здійснювати віддалене виконання коду (RCE) без необхідності автентифікації чи наявності облікового запису на сервері.

Проблема пов’язана з дефектами керування пам’яттю (UAF / Use-After-Free) та пошкодження пам’яті під час обробки помилок нестачі пам’яті (OOM). Атака може бути активована через специфічні запити MIME-типу multipart/form-data або глобальний стан відстеження завантаження сесій (session.upload_progress).

Ці довгострокові діри в безпеці PHP (що існували з версії 5.4 до 8.5) були знайдені дослідниками з компаній Calif, Wiz та OpenAI за допомогою передових моделей штучного інтелекту, які допомогли швидко розробити робочі експлойти.

Методи захисту від PHP2Shell.

Єдиним надійним способом захисту зараз є оновлення інтерпретатора PHP. Офіційні екстрені патчі вийшли 21.10.2026.

Оновіть PHP до безпечних версій: 8.5.12, 8.4.27, 8.3.36 або 8.2.35. Після оновлення обов’язково перезапустіть робочі процеси вебсервера (PHP-FPM, Apache, тощо).

Тимчасове пом’якшення (якщо оновлення неможливе):

- Вимкніть прогрес завантажень: session.upload_progress.enabled = Off (у php.ini).
- Налаштуйте правила на рівні Web Application Firewall (WAF) для блокування підозрілих multipart запитів.
- Обмежуйте доступ до інтерфейсів керування серверами з публічного інтернету.

Версії PHP 8.1 та старіші офіційно не підтримуються і не отримали оновлень, тому системи на їхній базі є найбільш вразливими.

В даній добірці експлоіти в веб додатках:

• Swagger UI 1.0.3 - Cross-Site Scripting (XSS) (деталі)
• Cisco ISE 3.0 - Remote Code Execution (RCE) (деталі)
• Citrix NetScaler ADC/Gateway 14.1 - Memory Disclosure (деталі)
• Tigo Energy Cloud Connect Advanced (CCA) 4.0.1 - Command Injection (деталі)
• Microsoft SharePoint Server 2019 (16.0.10383.20020) - Remote Code Execution (RCE) (деталі)

Продовжуючи тему уразливостей в плагінах для WordPress, пропоную вам інформацію про дірки в інших плагінах для WP.

Цього разу повідомляю про уразливості в плагінах OrderConvo, Contest Gallery, WPZOOM Portfolio, Atarim і темі Bricks Builder. Для котрих з’явилися експлоіти.

• WordPress OrderConvo 14 - Path Traversal (деталі)
• WordPress Contest Gallery 28.1.4 - Unauthenticated Blind SQL Injection (деталі)
• WordPress Plugin WPZOOM Portfolio 1.4.21 - Reflected Cross-Site Scripting (XSS) (деталі)
• WordPress Bricks Builder Theme - RCE (деталі)
• Atarim WordPress Plugin 4.2.2 - Sensitive Information Exposure (деталі)

Користувачам даних плагінів варто або оновити їх, або власноруч виправити дірки. В якості тимчасового рішення, поки не будуть виправлені чи оновлені плагіни, можна їх виключити в адмінці.

Після попереднього дослідження похаканих сайтів, приведу нову інформацію про взломані сайти. З числа українських сайтів.

• https://pd.ipiend.gov.ua (хакером Simsimi) - 09.05.2026 - похаканий державний сайт
• https://zt.gov.ua (хакером CoupDeGrace) - 16.06.2026 - похаканий державний сайт
• https://hcdut.ks.ua (хакером Antonkill) - 03.07.2026
• https://krug-ua.com.ua (хакером magelang6etar) - 04.07.2026
• https://shody-home.com.ua (хакером CoupDeGrace) - 04.07.2026

У вересневому вівторку патчів Patch Tuesday зробили 974 виправлень. Зокрема два експлуатованих Windows zero-day.

Як писав раніше стосовно інших виправлень, враховуючи той факт, що в одному фіксі може бути кілька дірок, то їх загальна кількість явно вища. Постійно це бачив у Mozilla. У липневому вівторку патчів Microsoft виправила 570 уразливостей - тоді це був рекорд для них. А зараз новий рекорд.

Все це через використання ШІ.

Зараз багато пишуть про PHP2Shell, але ця атака стосується лише PHP і лише деяких конфігурацій веб сервера, бо на більшості хостів атака не працює: жодна з двох дір та жоден експлоіт.

Ось уразливість Denial of Service through hash table multi-collisions, що була оприлюднена наприкінці 2011 року n.runs AG, насправді стосувалася багатьох платформ. Серед них PHP, Java, ASP.NET, Python, Plone, Ruby (CRuby 1.8, JRuby, Rubinius) та інші. Ось вона була “загрозою всьому Інтернету”.

Моя атака через пошкодження таблиць в MySQL, яку виявив 2007 року і писав про неї в постах з 2009 року про різні вразливі движки (де протестував), а в 2012 англійською для журналу Pentest, стосувалася всіх MySQL. А це сотні мільйонів сайтів, плюс ще локально у людей може бути саме ця СУБД, тому можливі атаки в локальних мережах. У ті роки це була найпоширеніша СУБД серед веб розробників. Багато часу пішло, щоб змусити WordPress виправити цей вектор атаки на їхній движок, вони навіть спасибі не сказали, але виправили.

Почитайте мою статтю на двох мовах:

Атака через пошкодження таблиць в MySQL / Attack via tables corruption in MySQL.

У квітні, 09.04.2026, вийшли PHP 8.4.20 і PHP 8.5.5. У версіях PHP 8.4.20 і 8.5.5 виправлено багато багів і уразливостей.

Дані релізи направлені на покращення безпеки і стабільності гілок 8.4.x і 8.5.x.

У PHP 8.4.20 і 8.5.5 виправлено:

• Витоки пам’яті.
• Численні вибивання.
• Численні пошкодження пам’яті.
• Уразливості в ядрі та модулях.

По матеріалам https://www.php.net.

В даній добірці експлоіти в веб додатках:

• Swagger UI 1.0.3 - Cross-Site Scripting (XSS) (деталі)
• Cisco ISE 3.0 - Remote Code Execution (RCE) (деталі)
• Citrix NetScaler ADC/Gateway 14.1 - Memory Disclosure (деталі)
• Tigo Energy Cloud Connect Advanced (CCA) 4.0.1 - Command Injection (деталі)
• Microsoft SharePoint Server 2019 (16.0.10383.20020) - Remote Code Execution (RCE) (деталі)