PHP выпустил патч для критической уязвимости 9.2. Разбираем, как она работает

В PHP исправлены две критические ошибки, объединенные под названием PHP2Shell, которые могли позволить постороннему лицу выполнять команды на PHP-сервере с помощью одной загрузки: без пароля — без входа в систему. Мы отслеживаем один запрос на загрузку в обработчике PHP-FPM, наблюдаем, как PHP распаковывает его до первой строки вашего кода, и видим, как исчерпание памяти на полпути оставляет после себя полузаписанную заметку (CVE-2026-109618), и как заметка, которая существует дольше, чем ее запрос, указывает на память, которая уже была возвращена (CVE-2026-109619, использование после освобождения). Затем мы видим, насколько это действительно плохо (критично на бумаге, но не Log4Shell на практике), и как проверить свой собственный сервер: запросите у PHP значение memory_hard_limit_percent. Старый PHP выдает bool(false); исправленный PHP знает это значение. Исправлено в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. ▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓ 🔔 ПОДПИСЫВАЙТЕСЬ 🔔 (-_-)☕ Ваш дежурный инженер, медленно объясняющий код ▶    / @coded_kaa   ▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓▓ 0:00 Что только что исправили в PHP 1:01 Как загруженный файл попадает в PHP 2:14 Ошибка 1: Недостаток памяти в середине шага 2:57 Ошибка 2: использование после освобождения памяти 3:41 Насколько это серьезно? 4:28 У вас установлены патчи? Проверьте это ИСТОЧНИКИ PHP: Уведомление о безопасности, критические уязвимости удаленного выполнения кода (21 окт. 2026 г.): https://www.php.net/archive/2026.php GHSA-w8hw-w9fx-j79w: Удален удаленный ввод кода через OOM-повреждение (CVE-2026-109618): https://github.com/php/php-src/securi... GHSA-6wmf-4rv5-p3rp: Удален удаленный ввод кода через устаревшее глобальное состояние (CVE-2026-109619): https://github.com/php/php-src/securi... Журнал изменений PHP 5, 5.4.0: прогресс загрузки данных сессии: https://www.php.net/ChangeLog-5.php#5... Sansec: PHP2Shell, PHP RCE: https://sansec.io/research/php2shell The Register: Хакеры атакуют PHP2Shell, поскольку AWS раскрывает, что атаки начались до раскрытия информации: https://www.theregister.com/cyber-cri... TechCrunch: У интернета сегодня очень плохой день в плане кибербезопасности: https://techcrunch.com/2026/10/21/the... JFrog: PHP2Shell, все, что вам нужно знать: https://research.jfrog.com/post/php2s... Datadog Security Labs: Обнаружение, анализ и устранение уязвимости PHP2Shell: https://securitylabs.datadoghq.com/ar... BleepingComputer: Amazon заявляет, что эксплуатация PHP2Shell началась за 4 дня до выхода патчей: https://www.bleepingcomputer.com/news... W3Techs: статистика использования PHP: https://w3techs.com/technologies/deta... PHP: Поддерживаемые версии: https://www.php.net/supported-version... PHP Инструкция: Настройка FPM (pm.max_requests): https://www.php.net/manual/en/install... ИСТОЧНИКИ ИЗОБРАЖЕНИЙ "Логотипы программного обеспечения (библиотека Excalidraw), элементы: #15, #17" от drwnio.polyrand.net, MIT (https://github.com/excalidraw/excalid.... Источник: https://github.com/excalidraw/excalid... "Человечки-палочки (библиотека Excalidraw), элементы: Happy" от Youri Tjang, MIT (https://github.com/excalidraw/excalid.... Источник: https://github.com/excalidraw/excalid... "Уведомление об обновлении безопасности настольного приложения Claude (скриншот)" от канала, собственная работа (сделано для этого видео). Источник: собственный скриншот пользователя, обрезанный до уведомления. Музыка: Lofi Mood Atmospheric Background от VICTORMUSIC (Envato Elements) Диаграммы нарисованы с помощью Excalidraw (MIT); иконки из библиотек drwnio и stick-figures Excalidraw (MIT)