CRITICAL CVSS v4.0: 9.2 • ZERO-DAY EXPLOIT ACTIVE

Срочное устранение уязвимостей PHP
CVE-2026-109618 & CVE-2026-109619

В ядре PHP обнаружены две критические RCE-уязвимости (php2shell), позволяющие неавторизованным злоумышленникам удаленно захватывать серверы и веб-приложения через обычные HTTP-запросы. Команда информационной безопасности MKUP проводит срочную нейтрализацию угрозы за 1–2 часа с гарантией Zero Downtime (без остановки работы сайта).

Технические детали уязвимости
от 15 мин
Реакция SLA 24/7
0 сек
Простой бизнеса
100%
Поиск WebShell
Официально
Договор и Акт
CVE-2026-109618 и CVE-2026-109619 устранение уязвимостей PHP
VULNERABILITY REPORT Zend Engine 4.x
CVE-2026-109618: OOM Longjmp Corruption
CVE-2026-109619: Stale Global Dangling Ptr
Фикс в релизах: 8.2.35, 8.3.36, 8.4.27, 8.5.12
Технический разбор инцидента

Почему уязвимость php2shell критична для вашего бизнеса?

Обе уязвимости кроются в низкоуровневой архитектуре управления памятью ядра PHP (Zend Engine) и механизме обработки фатальных сбоев Out-Of-Memory (OOM).

CVE-2026-109618 CVSS 9.2 (Critical)

RCE через разрушение памяти при Out-Of-Memory (longjmp)

При исчерпании директивы memory_limit обработчик прерывает выполнение скрипта через вызов C-функции longjmp(). В ряде внутренних модулей флаг готовности структуры памяти выставляется до завершения фактических аллокаций. Прерывание оставляет память в полуинициализированном состоянии, что позволяет атакующему перезаписать указатели функций и выполнить произвольный код на сервере.

Вектор атаки: Отправка специально сконструированных multipart/form-data или глубоко вложенных JSON-запросов, вызывающих контролируемый OOM.
CVE-2026-109619 CVSS 9.2 (Critical)

RCE через висячие глобальные указатели (Stale Global State)

Глобальное состояние ядра PHP в процессах PHP-FPM временно ссылается на локальную память текущего HTTP-запроса. При аварийном завершении очистка глобальных указателей пропускается. Следующий HTTP-запрос, попавший в тот же воркер FPM, читает уже освобожденную область памяти (Use-After-Free) и исполняет перехваченные адреса памяти шеллкода.

Опасность в production: Поражает все серверы с пулами PHP-FPM, Apache mpm_event, Swoole, RoadRunner и долгоживущими worker-процессами.

Матрица уязвимых версий PHP

Официальные патчи безопасности выпущены 22 октября 2026 года

Полный разбор в блоге
Ветка PHP Уязвимые версии Патч безопасности Статус поддержки Необходимое действие
PHP 8.5 8.5.0 — 8.5.11 8.5.12+ Активная Экстренный апгрейд
PHP 8.4 8.4.0 — 8.4.26 8.4.27+ Активная Экстренный апгрейд
PHP 8.3 8.3.0 — 8.3.35 8.3.36+ Безопасность Экстренный апгрейд
PHP 8.2 8.2.0 — 8.2.34 8.2.35+ Безопасность Экстренный апгрейд
PHP 8.1, 8.0, 7.4 Все версии ветки Патча НЕТ (EOL) EOL (Заброшена) Кастомный бэкпорт / Миграция
Протокол реагирования MKUP

6 этапов комплексного устранения угрозы

Инженерный регламент гарантирует полную безопасность сервера без риска поломки сайта и потери клиентских заказов.

01

Экспресс-аудит (0–30 мин)

Сканируем серверное окружение: версии PHP, настройки FPM-воркеров, конфигурации Docker/K8s, модули OPcache, JIT и логи веб-сервера на предмет признаков уже предпринятых атак.

Результат: Точный отчет уязвимых узлов
02

WAF & Edge экранирование

До обновления пакетов активируем защитные сигнатуры в Cloudflare WAF, Nginx, ModSecurity или Coraza, блокируя попытки вызова эксплойта и аномальные полезные нагрузки на подступах к PHP.

Результат: Немедленная нейтрализация атак
03

Бесшовный патчинг рантайма

Обновляем ядро PHP до безопасных релизов (8.5.12, 8.4.27, 8.3.36, 8.2.35). Для легаси версий (7.4–8.1) компилируем и накладываем проверенные бэкпорты ядра без остановки сервисов.

Результат: 100% устранение уязвимости в коде
04

Контейнеры & CI/CD пайплайны

Обновление базовых образов Dockerfile, multi-stage билдов, Helm-чартов и конфигураций оркестрации Kubernetes. Фиксация хэшей образов и предотвращение затягивания уязвимых слоев.

Результат: Чистые образы в реестре
05

Форензика и поиск скрытых закладок

Глубокая проверка файловой системы и памяти: выявление вредоносных WebShell, скрытых пользователей, изменений в cron/systemd, модификаций ядра CMS и неавторизованных SSH-ключей.

Результат: Чистый сервер без троянов
06

Харденинг и мониторинг 24/7

Блокировка опасных PHP-функций (exec, system, passthru), изоляция FPM-воркеров через systemd namespaces, настройка алертинга аномалий в реальном времени.

Результат: Максимальная защита периметра
Прозрачные тарифы и SLA

Калькулятор стоимости устранения уязвимости

Выберите параметры вашей инфраструктуры для мгновенного расчета стоимости и сроков выполнения работ.

1 сервер 10 серверов 20 серверов
Предварительный расчет
₽
Ориентировочное время закрытия:
Базовый патчинг PHP:
Пересборка Docker/K8s:+5 000 ₽ / узел
Форензика и поиск шеллов:+9 000 ₽
Кастомный бэкпорт для EOL:+12 000 ₽
WAF правила:+6 000 ₽

Работаем официально по договору. Оплата по безналичному расчету с НДС / без НДС.

Sysadmin Quick-Check

Проверьте уязвимость вашего сервера прямо сейчас

Выполните в SSH-консоли сервера под root

# 1. Проверка текущей версии PHP:

php -v

# 2. Однострочник для выявления уязвимой ветки:

php -r '$v=PHP_VERSION; echo "PHP: $v\n"; if(version_compare($v,"8.2.0",">=") && (version_compare($v,"8.2.35","<") || (version_compare($v,"8.3.0",">=") && version_compare($v,"8.3.36","<")) || (version_compare($v,"8.4.0",">=") && version_compare($v,"8.4.27","<")) || (version_compare($v,"8.5.0",">=") && version_compare($v,"8.5.12","<")))) { echo "\033[0;31m[CRITICAL DANGER] Сервер УЯЗВИМ к CVE-2026-109618/19 (php2shell)!\033[0m\n"; } else { echo "\033[0;32m[OK] Версия безопасна или содержит официальный патч.\033[0m\n"; }'

Вопросы и ответы

Часто задаваемые вопросы по устранению CVE

Обе уязвимости имеют рейтинг опасности CVSS 9.2 (Critical). Они позволяют удаленному злоумышленнику без какой-либо авторизации выполнять произвольный код (Remote Code Execution) в операционной системе сервера от имени пользователя веб-сервера (www-data, nginx, apache). Это дает возможность похитить базу данных, пароли, перехватить трафик клиентов или внедрить скрытые бэкдоры.
Нет. Мы используем метод Zero Downtime patching: сборка и подготовка пакетов проводятся в изолированном окружении, а перезагрузка пулов PHP-FPM выполняется через мягкий сигнал reload (graceful reload). Ни один пользовательский сеанс или платежная транзакция не будут прерваны.
Ветки PHP ниже 8.2 официально заброшены сообществом (End-of-Life). Для таких проектов мы реализуем двухконтурную защиту: кастомный бэкпорт коммитов безопасности непосредственно в сборку интерпретатора, а также жесткую эвристическую фильтрацию эксплойтов на уровне WAF (Web Application Firewall).
WAF — это временный барьер, а не лечение. Злоумышленники оперативно находят способы обхода (bypass) сигнатурных правил через кодирование заголовков или фрагментированные запросы. Кроме того, WAF не защищает сервер от запросов напрямую по IP-адресу в обход Cloudflare. Единственным полноценным решением является обновление рантайма PHP.
Именно поэтому наш протокол обязательно включает этап пост-эксплуатационной форензики. Мы сканируем сервер на наличие внедренных WebShell-скриптов, проверяем контрольные суммы системных утилит, анализируем cron-задачи, системные демоны systemd и выгружаем дамп открытых сетевых сокетов на наличие скрытых обратных подключений (Reverse Shells).
Да, мы работаем официально по договору оказания услуг по информационной безопасности и технической поддержке. После выполнения работ вы получаете детальный технический отчет, акт выполненных работ и гарантию на отсутствие регрессионных ошибок в коде.
Срочный прием заявок 24/7

Защитите ваш проект от RCE-взлома прямо сейчас

Не ждите, пока автоматизированные ботнеты просканируют ваш IP-адрес. Оставьте заявку — дежурный инженер безопасности свяжется с вами в течение 10 минут.

Написать в Telegram дежурному