PHP2Shell: сайты на PHP 8.1 и старше остались без патча

Атаки на уязвимости PHP2Shell (CVE-2026-109618 и CVE-2026-109619, обе 9.2) начались 21 октября 2026 года, патчи вышли только через шесть часов. Исправления получили ветки 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а PHP 8.1 и старше остались уязвимыми, так как их поддержка уже завершена.

• Первые атаки зафиксированы 21 октября в 07:43 UTC, патчи вышли в 14:00 UTC
• Исправления вышли для PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35
• Поддержка PHP 8.1 завершилась 31 декабря 2025 года, официального патча нет
• Обновление CMS вроде WordPress или Joomla не закрывает дыру в самом PHP