Īsi: PHP ievainojamība PHP2Shell skar atzarus no 8.2 līdz 8.5 līdz 2026. gada 21. oktobra izlaidumiem, saskaņā ar speciālistu presi gandrīz visas versijas līdz pat PHP 5.4. Tā ir labota PHP 8.5.12, 8.4.27, 8.3.36 un 8.2.35. PHP 8.1 un vecākām versijām oficiālu atjauninājumu vairs nav, tikai minimāli pirmkoda backport labojumi versijām 7.4, 8.0 un 8.1.
Kuras versijas PHP ievainojamība ir skārusi?
PHP2Shell ietver abas ievainojamības CVE-2026-109618 un CVE-2026-109619, katra novērtēta ar CVSS v4.0 9.2. Abas ļauj izpildīt ļaunprātīgu kodu no attāluma bez pieteikšanās. 2026. gada 21. oktobrī plkst. 14:00 UTC (16:00 pēc Vācijas laika) PHP projekts publicēja labojumus visiem atbalstītajiem atzariem.
| PHP atzars | Pēdējā versija pirms labojuma | Labots kopš | Atbalsts |
|---|---|---|---|
| 8.5 | 8.5.11 | 8.5.12 | oficiāli atbalstīts |
| 8.4 | 8.4.26 | 8.4.27 | oficiāli atbalstīts |
| 8.3 | 8.3.35 | 8.3.36 | oficiāli atbalstīts |
| 8.2 | 8.2.34 | 8.2.35 | beidzas 31.12.2026 |
| 8.1, 8.0, 7.4 | visas versijas | nav oficiāla izlaiduma | tikai minimāli pirmkoda backport labojumi |
| 7.3 līdz 5.4 | saskaņā ar speciālistu presi gandrīz visas skartas | nav atjauninājuma | vairākus gadus bez atbalsta |
Dati par 8.2 līdz 8.5 nāk no php.net paziņojumiem. Apgalvojums par versijām līdz PHP 5.4 nāk no speciālistu preses; pilnīga oficiāla vecāko versiju saraksta nav.
Dažos teikumos tiem, kas nav tehniķi: ja jūsu serverī ir versija no kolonnas „Labots kopš“ vai augstāka un pēc tam ir pārstartēti visi PHP procesi, PHP2Shell ir aizvērta. Ja tur ir vecāks numurs, vai nu ir spēkā backport, kuru jūsu sniedzējam jāapstiprina, vai ievainojamība ir atvērta. Šaubu gadījumā jautājiet savai IT nodaļai vai hostinga sniedzējam tieši par šiem trim punktiem: versija, backport, pārstartēšana.
Skartie darbības režīmi
Versijas numurs ir tikai puse atbildes. Skarti ir visi ierastie PHP darbināšanas veidi tīmekļa serverī: PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed. PHP komanda risku mod_php gadījumā vērtē kā augstāko, jo tur exploit tika demonstrēts, vēl pirms tiek izpildīts lietojumprogrammas kods. Sīkāk rakstā Kāpēc mod_php rada augstāko risku.
Aizsardzība no lietojumprogrammas nerodas: vai WordPress, Shopware, TYPO3, Laravel vai pašu izstrādāts risinājums, lietojumprogrammas atjauninājums ievainojamību PHP neaizver.
Backport labojumi: kad versijas numurs maldina
Daudzi Linux distributīvi un hostinga sniedzēji PHP piegādā savās pakotnēs. Tā vietā, lai pārietu uz jaunu upstream versiju, tie labojumu pārņem kā backport savā esošajā versijā. Tam ir praktiska sekas: redzamais numurs paliek vecs. Piemērs no pašreizējās situācijas ir Plesk, kas var turpināt rādīt 8.2.34, lai gan kļūda ir novērsta.
Jums tas nozīmē: tabula iepriekš attiecas uz oficiālajiem php.net izlaidumiem. Pakotnēm no jūsu distributīva vai hostinga sniedzēja izšķir pakotnes stāvoklis un sniedzēja apstiprinājums. Kā pārbaudīt abus, parāda PHP versijas un ielāpa stāvokļa pareiza pārbaude. Ātrajam testam komandrindā:
php -v
apt policy php8.3-fpm # Debian/Ubuntu, pakotnes nosaukums atšķiras pēc versijas un avota
dnf info php-fpm # RHEL saime
Labota versija diskā vēl nenozīmē, ka tā darbojas. Tikai pēc visu PHP procesu pārstartēšanas serveris strādā ar labotu kodu.
Kas attiecas uz PHP 8.1 un vecākām versijām?
PHP 8.1, 8.0 un 7.4 ir tikai minimāli pirmkoda backport labojumi, tas ir, labojumi pirmkodā, kas kādam pašam jāpārņem un jākompilē. Oficiāli izlaidumi neparādās. Dažiem distributīviem ar ilgtermiņa uzturēšanu šādi labojumi tiek iebūvēti pakotnēs; vai tas attiecas uz jūsu sistēmu, var noskaidrot tikai pakotnes changelog vai pie sniedzēja.
Ilgtermiņā bez atbalstītas versijas neiztikt. Kuru PHP versiju jūsu CMS vai veikals panes, pārbaudiet pēc ražotāja sistēmas prasībām, piemēram, wordpress.org, shopware.com vai typo3.org. Vairāk lasiet rakstā PHP 8.1 un vecākas: kas tagad ir spēkā.
Un CVE-2026-115560?
- oktobrī php.net publicēja norādi par trešo ievainojamību. Tā darbojas tikai neparastā sesiju konfigurācijā. Labota versija pēc stāvokļa uz 25. oktobri vēl nav; līdz nākamajam regulārajam kļūdu labojumu izlaidumam pretlīdzeklis ir
session.upload_progress.enabled=0. Versiju saraksts tiek gaidīts tikai ar pilnu advisory.
Kā PHP SOS palīdz konkrēti?
- Inventārs: Mēs uzskaitām visas PHP versijas jūsu serveros, arī otrās instalācijas atsevišķām vietnēm, kuras tik viegli tiek aizmirstas.
- Salīdzinājums: Katrai instalācijai noskaidrojam, vai ir oficiāls izlaidums, distributīva backport vai labojuma nav.
- Atjauninājums ar apliecinājumu: Ar PHP ielāpu pakalpojumu mēs labojumu instalējam un pārstartējam visus procesus.
- Migrācijas plāns: Versijām bez oficiāliem atjauninājumiem ar PHP 8.1 un vecāku versiju migrāciju plānojam pāreju un līdz tam nodrošinām serveri.
Biežāk uzdotie jautājumi
Vai PHP 8.3.35 vēl ir drošs?
Nē, ja jūsu sniedzējs nav ieviesis backport labojumu. 8.3.35 ir pēdējā versija pirms labojuma; PHP2Shell atzarā 8.3 ir labots no 8.3.36. Distributīvu pakotnēm numurs var palikt tāds pats, lai gan kļūda ir novērsta. Tad noteicošs ir pakotnes changelog vai sniedzēja apstiprinājums.
Vai PHP 7.4 ir skarta PHP2Shell?
Saskaņā ar speciālistu presi ir skartas gandrīz visas versijas līdz pat PHP 5.4. Versijām 7.4, 8.0 un 8.1 ir tikai minimāli pirmkoda backport labojumi un nav oficiālu izlaidumu. Pāreja uz atbalstītu versiju ir uzticamais ceļš.
Kāpēc Plesk rāda 8.2.34, lai gan ir ielāpots?
Distributīvi un hostinga sniedzēji labojumus dažkārt pārņem kā backport savās esošajās pakotnēs. Versijas numurs tad paliek tāds pats, kļūda tomēr ir novērsta. Pārbaudiet pakotnes stāvokli vai lūdziet sniedzējam apstiprināt ielāpu.
Kuru PHP versiju man tagad izvēlēties?
Atbalstītu versiju, ko jūsu lietojumprogramma saskaņā ar ražotāja sistēmas prasībām atbalsta. PHP 8.2 atbalsts beidzas 31.12.2026; kas tagad tāpat maina versiju, tam tas jāņem vērā.