PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 исправляют две критические, неподключенные RCE-уязвимости, CVE-2026-109618 и CVE-2026-109619, известные как «php2shell». Обновление — это простая часть. Сложность в том, чтобы знать, что каждый PHP на машине исправлен: backports дистрибутивов, сохраняющие старые номера версий, PHP в панели управления, пула FPM, mod_php, который не перезапустился после перезагрузки, Docker-образы и исполняемые файлы Octane. Этот комплект отвечает на этот вопрос в одном запуске, а затем проведет вас дальше.

СОДЕРЖИМОЕ

- php2shell-audit.sh (Linux, только чтение):

- Находит PHP через apt/dnf/apk, ondrej/sury, Remi, cPanel ea-php, CloudLinux alt-php, Plesk, DirectAdmin, aaPanel, LiteSpeed lsphp и Homebrew, а также все запущенные процессы.

- Классифицирует каждую сборку как FIXED (исправлена), PATCHED (встроенный backport поставщика, проверено в журнале изменений пакета или по таблицам фиксированных версий Ubuntu/Debian), VULNERABLE, EOL или CHECK-VENDOR.

- Флаги mod_php, upload_progress / fatal_error_backtraces включены, per-request PHP_VALUE и переопределения php_value, неправильное использование RLIMIT, процессы, все еще запускают старый удаленный PHP после обновления, оболочки, запущенные рабочими процессами PHP, и контейнеры PHP Docker.

- Выходные коды 0/1/2 для cron и мониторинга.

- php2shell-audit.ps1 (Windows/IIS, только чтение): проверяет PATH, папки XAMPP/WAMP/Laragon/Plesk, приложения IIS FastCGI из applicationHost.config, Apache mod_php, настройки и подозрительные дочерние процессы.

- Руководства по обновлению, каждое со страницы поставщика и ссылками:

- Ubuntu/Debian (включая PPA и sury), RHEL/AlmaLinux (таблица патчей пакетов), Rocky, Remi, Amazon Linux 2023 / Beanstalk / Lightsail, Alpine, Docker

- cPanel EA4, CloudLinux ea-php/alt-php, Plesk (включая трюк с датой сборки для EOL-билдов), DirectAdmin, aaPanel, CloudPanel

- LiteSpeed, FrankenPHP/Octane, Windows/IIS

- Плюс таблица перезагрузки (почему Apache graceful недостаточно).

- Промежуточные mitigations, взятые из php.net/GHSA и помеченные PARTIAL:

- вставляемый php.ini, пул FPM, Apache, nginx (блок, allow-list, read-only), Caddy/FrankenPHP и файлы lighttpd

- правило AWS WAF (буквально JSON) и заметки Cloudflare

- правило ModSecurity (выведено из лабораторных тестов) и правило IIS (выведено, не тестировалось)

- перечень мер, которые НЕ помогли

- Контрольный список пост-патча для проверки, подсказки по обнаружению (лог-грэпы, аудит процессов) и первые шаги по инциденту

- План миграции для PHP 8.1 и старше (и 8.2, EOL 31 декабря 2026 года), включая mod_php → PHP-FPM

- Таблица отката, список источников и краткие быстрые старты ES/PT/ID/JA

ТЕСТИРОВАНО

- На Debian 13 аудит зафиксировал уязвимый 8.4.24, исправленный 8.4.27 и устаревшие процессы до перезагрузки.

- 41 модульных тестов, shellcheck чисто.

- Отрывки nginx, Apache, ModSecurity и FPM были протестированы в лаборатории на безобидных запросах (результаты в tests/LAB-RESULTS.md).

ПРИМЕЧАНИЯ

- Без эксплойта, без PoC, без сетевого сканера. Скрипты читают только машину, на которой выполняются.