PHP2Shell: критические RCE-уязвимости в PHP впервые успешно эксплуатируют

Исследователь Adel Karimi из Perplexity зафиксировал на ханипоте подтверждённую удалённую эксплуатацию уязвимостей PHP2Shell (CVE-2026-109618 и CVE-2026-109619) против Apache mod_php с PHP 8.4.26. Патчи вышли 21 октября; ранее попытки атак считались неудачными. Также PHP-команда дала временную защиту от новой RCE CVE-2026-115560 без патча.

• Подтверждён RCE через PHP2Shell на Apache mod_php с PHP 8.4.26
• Эксплуатацию зафиксировал Adel Karimi из Perplexity, подтвердил Marcus Hutchins
• Патчи для CVE-2026-109618 и CVE-2026-109619 вышли 21 октября
• Для CVE-2026-115560 без патча советуют session.upload_progress.enabled=0