PHP2Shell: план проверки патча и охоты до раскрытия уязвимостей

Amazon зафиксировала первую попытку эксплуатации PHP2Shell 17 октября 2026 года — за четыре дня до выхода патчей PHP. Уязвимости CVE-2026-109618 и CVE-2026-109619 с оценкой 9.2 позволяют выполнить код без аутентификации; исправления вышли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

• Первая попытка эксплуатации зафиксирована 17 октября, патчи вышли 21 октября
• Обе уязвимости имеют оценку 9.2 по CVSSv4 и не требуют аутентификации
• Исправления: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35; для 8.1 и старше только бэкпорты
• VirusTotal оценивает число открытых PHP-хостов более чем в 5,1 млн