Уязвимости PHP2Shell, зарегистрированные как CVE-2026-109618 и CVE-2026-109619, получили оценку 9,2 по шкале CVSS 4.0. Проблемы связаны с повреждением памяти при обработке запросов, что позволяет выполнять код с правами процесса PHP без аутентификации. Успешность атаки зависит от конфигурации сервера, набора расширений и настроек памяти.
PHP Foundation столкнулась с трудностями при исправлении ошибки. Первые признаки проблем обнаружили еще в 2024 году, но цепочку выполнения кода тогда не выявили. Разработка патча затянулась из-за споров о производительности и совместимости. В августе 2026 года исследователи компании Calif передали фонду доказательства удаленного выполнения кода, что ускорило процесс.
Релиз исправлений в октябре 2026 года сопровождался утечками и разногласиями. Выпуск перенесли с 22 на 21 октября, однако компания Chainguard опубликовала обновленные контейнерные образы на шесть часов раньше срока. Руководство Chainguard объяснило это независимостью своей разработки и необходимостью оперативной защиты пользователей после появления информации об эксплуатации.
Первоначальный скепсис экспертов сменился подтверждением угрозы. Исследователи зафиксировали атаки на honeypot-серверы и кампанию против межсетевых экранов Palo Alto Networks, где PHP2Shell использовали вместе с уязвимостью Fragnesia. К концу октября 2026 года стало очевидно, что злоумышленники успешно адаптируют эксплойты под конкретные конфигурации систем.
Инцидент выявил нехватку ресурсов в поддержке критического ПО. Несмотря на существование профильных инициатив, PHP Foundation вынуждена искать финансирование у компаний-пользователей. Авторы отмечают, что для бизнеса, зарабатывающего на open source, инвестиции в сопровождение кода являются необходимым условием безопасности, предотвращающим подобные кризисы в будущем.
