PHP2Shell (CVE-2026-109618 ja CVE-2026-109619) võimaldab ründajal käivitada teie serveris koodi ilma sisse logimata ning rünnakud juba käivad. Kontrollime teie veebilehte, ütleme selgelt, milline on olukord, ja hindame paranduse hinna.
Audit vaid 29 € + KM, ühekordne makse
Soovite kontrollida kogu serverit? Täielik turvaaudit hinnaga 199 € + KM
PHP2Shell on kahe kriitilise vea nimi PHP mootoris endas. Need avalikustati 20. oktoobril 2026 ja parandati 21. oktoobril 2026. Kuna vead on PHP-s, mitte WordPressis, pluginas ega teie koodis, on ohus iga veebileht, mis töötab haavatava PHP versiooniga, olenemata rakendusest.
Rünnak on spetsiaalselt koostatud HTTP päring. PHP töötleb seda enne, kui ükski teie rakenduse kood käivitub, mistõttu paroolid, CAPTCHA ja turvapluginad seda ei peata. Teadlased on kinnitanud autentimata koodikäivitust WordPressi, Drupali, Joomla ja Magento saitidel. Esimesed ärakasutamise katsed registreeriti 17. oktoobril, enne avalikku teadaannet, ning sellest ajast on rünnakuid üha rohkem.
Kui PHP-l saab mälu otsa ajal, mil see veel POST-päringut loeb, jääb maha poolikult loodud kirje. Päringu lõpus käsitletakse seda kehtivana, kuid selle sisu kontrollib ründaja ja seda saab kasutada oma koodi käivitamiseks.
Ühest päringust üle jäänud andmed võivad viidata juba vabastatud mälule, mida kasutab hilisem päring samas PHP protsessis. See lekitab mälu sisu ja võib viia koodikäivituseni. Viga on ligipääsetav seansi üleslaadimise edenemise funktsiooni kaudu, mis on vaikimisi sees.
Ohus on iga PHP paigaldus, mis teenindab veebipäringuid: PHP-FPM, Apache mod_php, php-cgi, LiteSpeed ja FrankenPHP. Võrrelge PHP versiooni, mis tegelikult teie veebilehte teenindab, tabeliga.
| PHP haru | Olek | Turvaline versioon |
|---|---|---|
| PHP 8.5 | Haavatav enne 8.5.12 | 8.5.12 või uuem |
| PHP 8.4 | Haavatav enne 8.4.27 | 8.4.27 või uuem |
| PHP 8.3 | Haavatav enne 8.3.36 | 8.3.36 või uuem |
| PHP 8.2 | Haavatav enne 8.2.35 | 8.2.35 või uuem |
| PHP 7.4 – 8.1 | Haavatav, ametlikku parandust pole (ainult lähtekoodi paigad) | Uuenda versioonile 8.2+ või tarnija parandatud paketile |
| PHP 5.4 – 7.3 | Haavatav, tugi lõppenud, parandust ei tule | Uuendamine vajalik |
Ainult versiooninumber võib eksitada. Linuxi distributsioonid lisavad paranduse sageli numbrit muutmata, käsurealt nähtav PHP võib erineda sellest, mis teenindab veebilehte, ja jagatud majutuses võib korraga töötada mitu versiooni. Audit kontrollib seda just teie keskkonnas.
Teie veebilehte kontrollib käsitsi insener, mitte automaatne skanner, ja saate kirjaliku aruande arusaadavas keeles.
Sisestage veebilehe domeen ja makske valitud auditi eest (29 € või 199 € + KM) kaardi, pangalingi, PayPali või krüptorahaga.
Insener võtab ühendust 2 tööaja tunni jooksul (E–R 9:00–18:00 Leedu aja järgi) ja lepib kokku ligipääsus.
Saate järeldused arusaadavas keeles ja paranduse ligikaudse hinna. Teie otsustate, kas parandame meie.
Sobib igale veebilehele, olenemata sellest, kus see on majutatud. Te ei pea olema meie majutuse klient.
Sihitud kontroll CVE-2026-109618 ja CVE-2026-109619 suhtes.
Kõik, mis kuulub PHP2Shelli auditisse, lisaks kogu server ja veebilehe kood.
Iga server on erinev, seega paranduse hind arvestatakse individuaalselt. Pärast auditit saate ligikaudse hinna ja alustame töödega ainult teie nõusolekul.
Teie majutuses ei saa PHP-d ise muuta? Ütleme täpselt, mida pakkujalt küsida, või aitame kolida.
Ainus täielik lahendus on PHP uuendamine. Kuni te seda teha ei saa, soovitab PHP meeskond ajutisi meetmeid:
memory_limit=-1 serveri tasemel, et rakendused ei saaks seda muuta, ja piirake päringu suurust veebiserveris või proksis. See blokeerib CVE-2026-109618 teadaoleva ärakasutamise tee.session.upload_progress.enabled=0 ning PHP 8.5 puhul ka fatal_error_backtraces=0 (CVE-2026-109619).WAF, näiteks Cloudflare, aitab teadaolevate rünnakumustrite vastu, kuid ainult seda läbiva liikluse puhul. See on ajutine abinõu, mitte parandus. Kui te pole kindel, kas seaded hakkasid kehtima või kas keegi tungis sisse varem, kontrollib audit just seda.