У PHP виявили дві критичні вразливості, які дозволяють зламати сервер без пароля

Виявлені дефекти безпеки отримали ідентифікатори CVE-2026-109618 та CVE-2026-109619, а також спільну неофіційну назву PHP2Shell. Загроза зачіпає серверні конфігурації, які безпосередньо обробляють вхідні вебзапити, зокрема середовища PHP-FPM та модулі Apache mod_php, під загрозою опинилися й вебресурси на платформі WordPress.

Команда розробників PHP уже випустила коригувальні релізи у гілках 8.2.35, 8.3.36, 8.4.27 та 8.5.12. Для інфраструктури, що функціонує на базі версії PHP 8.1 або раніших випусків, штатні оновлення не передбачені через завершення терміну їх офіційної підтримки, що перекладає питання захисту на постачальників послуг хостингу.

Оновлення виключно систем управління контентом на зразок WordPress чи супутніх плагінів не усуває проблему базового інтерпретатора. З огляду на масштабність ризиків європейські агентства з кібербезпеки закликали організації та бізнес негайно провести аудит власних інформаційних систем і застосувати актуальні патчі.

Невчасна реакція на виявлені вразливості створює суттєві фінансові та юридичні ризики для цифрового бізнесу, включно з імовірністю компрометації клієнтських даних, зупинки комерційних операцій та штрафів за невиконання вимог захисту інформації.

Що це означає: бізнесу та власникам інтернет-ресурсів потрібно терміново перевірити версії використовуваного серверного програмного забезпечення та скоординувати з хостинг-провайдерами встановлення патчів для запобігання втратам від несанкціонованого проникнення.