CISA добавила активно эксплуатируемые уязвимости PHP2Shell в каталог KEV

Агентство кибербезопасности и инфраструктурной защиты США (CISA) объявило в понедельник, что две уязвимости PHP2Shell были добавлены в его каталог известных эксплуатируемых уязвимостей (KEV) после подтверждения активной эксплуатации. Обе уязвимости, оценённые в 9,2 по шкале CVSS, позволяют неаутентифицированное удалённое выполнение кода. CVE-2026-109618 представляет собой ошибку повреждения памяти из-за нехватки памяти, тогда как CVE-2026-109619 — уязвимость устаревшего внутреннего состояния запроса.

Адель Карими, руководитель по обнаружению и реагированию в Perplexity, сообщил об успешном удалённом выполнении кода против honeypot-систем 24 октября 2026 года. > "Это теперь подтверждённый RCE с раскрытием используемой памяти, а не просто сбой, за которым последовал подозрительный процесс," — сказал Карими. > "Ответ предоставил дамп декодированных cookie объёмом 800 КиБ, а адрес функции, полученный из этого дампа с использованием публичных смещений эксплойта, появился в последующей полезной нагрузке исполнения."

Карими добавил, что эксплойт был продемонстрирован в конфигурации mod_php с одним рабочим процессом и надёжность на других настройках не оценивалась. Уязвимости были исправлены в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, выпущенных 21 октября 2026 года, при этом федеральным агентствам было дано до 29 октября 2026 года для применения обновлений.

Censys оценивает, что более 32,5 млн PHP-служб продолжают работать на уязвимых версиях, что составляет примерно 70 % веб-сайтов. Проблема вызвала выпуск рекомендаций от множества поставщиков и агентств по всему миру.

Отдельно Фонд PHP выпустил исправленные сборки для Windows 26 октября 2026 года, чтобы устранить CVE-2026-111497, уязвимость записи за пределами буфера в библиотеке декодера Brotli, которая также может привести к повышению привилегий и неаутентифицированному удалённому выполнению кода. Фонд отметил, что уязвимый декодер может быть доступен через расширение cURL при включённой автоматической декомпрессии HTTP-ответов, настройка, отключённая по умолчанию.