php2shell: ИИ нашёл критическую уязвимость в PHP — что делать владельцам сайтов

Коротко. 21 октября 2026 года команда PHP выпустила экстренные обновления против двух критических уязвимостей — CVE-2026-109618 и CVE-2026-109619, их назвали php2shell. Обе позволяют выполнить чужой код на сервере одним запросом, без пароля. Нашли их не люди вручную, а исследователи с помощью нейросетей OpenAI и Google. PHP работает под большей частью сайтов в интернете, включая WordPress, поэтому обновляться нужно сегодня.

Что случилось

Публикацию планировали на 22 октября, но 20-го подробности утекли в сеть, и патчи вышли на день раньше. Обе уязвимости получили 9,2 балла из 10 по шкале CVSS v4.0. Суть в двух ошибках ядра PHP:

• CVE-2026-109618 — повреждение памяти, когда обработка запроса прерывается из-за нехватки памяти, а интерпретатор потом считает недоделанные данные корректными.
• CVE-2026-109619 — «зависшее» состояние: данные одного запроса переживают его и используются следующим запросом в том же процессе.

Ошибки срабатывают ещё до того, как запустится код самого сайта. Поэтому не важно, насколько аккуратно написан ваш движок: по данным исследователей, атака проходила на стандартных WordPress, Drupal, Joomla, MediaWiki, phpMyAdmin, Nextcloud, Laravel и Symfony. Под угрозой PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. Кроме выполнения кода, уязвимости позволяют вытащить из памяти пароли, токены и API-ключи.

При чём здесь ИИ

Первым дыру нашёл стартап Calif по программе OpenAI «Patch the Planet» — с помощью модели GPT-5.6 Sol. По хронологии, которую приводит Cyber Kendra, первую находку сделали 1 августа, а рабочий эксплойт собрали уже 14-го. Независимо от них ту же ошибку нашла Wiz, используя свой инструмент Atlas, Gemini 4 Argon и тот же GPT-5.6 Sol.

Ошибкам, по разным оценкам, больше десяти лет — затронуты версии начиная как минимум с 5.4. Люди не замечали их всё это время, а нейросеть нашла за несколько недель. В OpenAI говорят, что ИИ нашёл дыры раньше злоумышленников, но признают: те же возможности помогают и атакующим быстро писать эксплойты. Компания обещает, что таких находок в ближайшие месяцы станет резко больше. Про то, как модели OpenAI сейчас работают с кодом и агентами, мы писали в разборе GPT-6 Pro и параллельных агентов.

Атакуют ли уже

Оценки расходятся. По данным CyberScoop, американское агентство CISA пока не видело эксплуатации, а Fastly фиксирует сканирование и разведку. Cloudflare при этом сообщает о первых атаках ещё до публикации. На GitHub появилось больше сотни «эксплойтов» — авторы находки свой код не публиковали, так что многие из этих репозиториев могут сами оказаться вирусами. Не запускайте их.

Что делать прямо сейчас

1. Узнайте версию PHP. Команда php -v на сервере или раздел «Версия PHP» в панели хостинга.
2. Обновитесь до исправленной версии: 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Ubuntu, Debian, RHEL и Arch уже выпустили свои пакеты, обновлены и официальные Docker-образы.
3. Перезапустите PHP-FPM, Apache и воркеры. Без перезапуска в памяти продолжит работать старая версия.
4. Старые ветки. Для 8.1, 8.0 и 7.4 официальных релизов нет — только патчи от дистрибутивов. На 7.3 и ниже исправлений не будет: только переезд на новую версию или изоляция сервера.
5. На виртуальном хостинге напишите в поддержку и уточните, обновлён ли PHP на вашем тарифе.

Команда PHP прямо пишет: полноценной защиты без обновления нет. Временные меры вроде отключения session.upload_progress и правил WAF лишь выигрывают время. Признаки взлома, на которые советуют смотреть в логах: странные multipart-запросы с ошибками нехватки памяти, серии ответов 500, огромные куки PHPSESSID и процессы PHP, которые запускают shell, curl или wget.

Как нейросеть поможет с обновлением

Умка не сканирует ваш сервер и не обновляет его за вас — это делается на стороне хостинга. Но текстовая модель хорошо справляется с рутиной вокруг: подскажет команды обновления под вашу ОС, объяснит вывод php -v, проверит конфиг PHP-FPM и поможет разобрать кусок access-лога на подозрительные запросы. Пример запроса:

«У меня Ubuntu 22.04, nginx и PHP 8.1-FPM, сайт на WordPress. Как закрыть уязвимость php2shell? Распиши команды по шагам, как проверить версию после обновления и что перезапустить».

Не вставляйте в чат пароли, ключи и содержимое .env — ни в Умку, ни в любой другой сервис. Подробнее о работе с кодом и серверами — в статье ИИ для кода.

Ответ сильной текстовой модели в Умке стоит в среднем 33 токена, быстрой — 1 токен. При регистрации дают 60 токенов в подарок без карты, минимальный пакет — 725 токенов за 290 ₽, это около 21 подробного ответа сильной модели.

Вывод

php2shell — первая уязвимость такого масштаба, которую нашли нейросети, и вряд ли последняя. Для владельца сайта вывод практический: обновить PHP, перезапустить службы и проверить логи сегодня, а не после выходных. Старые версии PHP теперь — прямой риск, а не просто технический долг.

Частые вопросы