CISA додає дві RCE-уразливості PHP2Shell до каталогу KEV

CISA підтвердила активну експлуатацію двох уразливостей PHP2Shell і додала їх до каталогу Known Exploited Vulnerabilities. Обидві уразливості мають оцінку 9.2 за CVSS і дають змогу неавтентифіковано виконувати віддалений код у вражених системах PHP. Adel Karimi з Perplexity підтвердив успішне віддалене виконання коду на honeypot-системах 24 жовтня 2026 року.

Що підтвердила CISA

Дві уразливості: CVE-2026-109618, вада пошкодження через вичерпання пам’яті, і CVE-2026-109619, вада застарілого внутрішнього стану запиту. CISA додала обидві до KEV після повідомлення Karimi про підтверджене віддалене виконання коду з придатним для використання розкриттям пам’яті. Karimi сказав, що відповідь містила 800 KiB декодованого дампу cookie і що адреса функції, отримана з дампу за зсувами публічного експлойта, з’являється в наступному корисному навантаженні виконання. Він також сказав, що докази демонструють ланцюг у навмисно сприятливому профілі mod_php з одним робочим процесом і не вимірюють надійність експлойта для іншої кількості робочих процесів, збірок PHP або застосунків.

Виправлення та строки

Проблеми виправлено у версіях PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35, випущених 21 жовтня 2026 року. Федеральні агенції мають до 29 жовтня 2026 року застосувати необхідні виправлення. За оцінками Censys, понад 32.51 мільйона PHP-сервісів досі працюють у враженій версії. PHP використовується приблизно на 70% усіх вебсайтів в інтернеті. Через серйозність уразливостей рекомендації випустили численні програмні, безпекові й урядові організації, зокрема ABB, Arista Networks, Belden, Broadcom, Canon, Citrix, Dell, Dormakaba, F5, Hikvision, HP, HPE, Hitachi Energy, HMS Networks, Huawei, IBM, Ivanti, Johnson Controls, Mitel, Moxa, NETGEAR, Okta, QNAP, Rockwell Automation, Ruckus Wireless, Salesforce, Schneider Electric, Siemens, SonicWall, Splunk, Synology, Veeam, Wibu-Systems і WordPress.

Пов’язана проблема з Windows-збірками

Станом на 26 жовтня 2026 року PHP Foundation також випустила Windows-збірки 8.5.12-1, 8.4.27-1, 8.3.36-1 і 8.2.35-1 для усунення CVE-2026-111497. Це уразливість запису за межами буфера в бібліотеці декодера Brotli, що також може призвести до підвищення привілеїв і неавтентифікованого віддаленого виконання коду. Уразливість також відома як Broccoli2Shell, HTTP2Shell і Node2Shell та впливає на Brotli 1.0.3 до 1.0.9, 1.1.0 і 1.2.0. Її виправлено у версіях 1.0.10, 1.1.1 і 1.2.1 та в інших проєктах із цією C-бібліотекою, зокрема Node.js, Bun, Envoy Proxy, Istio, .NET і Python. «У Windows-збірках PHP уразливий декодер доступний через розширення cURL, коли ввімкнено автоматичну декомпресію HTTP-відповідей», сказала PHP Foundation. «У cURL це вимкнено за замовчуванням, але застосунки й HTTP-клієнти можуть це ввімкнути».

Попередні матеріали: VulnCheck розробляє експлойт PHP2Shell, який обходить ASLR у виробничих системах · PHP повідомляє про ризик невиправленого RCE у вузькому налаштуванні після аварійних виправлень PHP2Shell

Джерела: The Hacker News