PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35 виправляють дві критичні вразливості віддаленого виконання коду без автентифікації, CVE-2026-109618 і CVE-2026-109619, відомі як «php2shell». Оновитися нескладно. Складно переконатися, що виправлено кожен PHP на сервері: бекпорти дистрибутивів, що зберігають старі номери версій, PHP панелей керування, пули FPM, mod_php, який не перезапустився після reload, образи Docker і бінарні файли Octane. Цей набір відповідає на це за один запуск, а потім проведе вас через решту.

ЩО ВСЕРЕДИНІ

- php2shell-audit.sh (Linux, лише читання):

- Знаходить PHP з apt/dnf/apk, ondrej/sury, Remi, cPanel ea-php, CloudLinux alt-php, Plesk, DirectAdmin, aaPanel, LiteSpeed lsphp і Homebrew, а також кожен запущений процес.

- Класифікує кожну збірку як FIXED, PATCHED (бекпорт вендора, перевірено за changelog пакета або за таблицями виправлених версій Ubuntu/Debian), VULNERABLE, EOL або CHECK-VENDOR.

- Позначає mod_php, досі ввімкнені upload_progress / fatal_error_backtraces, перевизначення PHP_VALUE і php_value для окремих запитів, неправильне використання RLIMIT, процеси, що й далі працюють зі старим видаленим PHP після оновлення, оболонки, запущені воркерами PHP, і Docker-контейнери з PHP.

- Коди виходу 0/1/2 для cron і моніторингу.

- php2shell-audit.ps1 (Windows/IIS, лише читання): перевіряє PATH, теки XAMPP/WAMP/Laragon/Plesk, застосунки IIS FastCGI з applicationHost.config, Apache mod_php, налаштування та підозрілі дочірні процеси.

- Інструкції з оновлення, кожна зі сторінки самого вендора з посиланнями:

- Ubuntu/Debian (зокрема PPA і sury), RHEL/AlmaLinux (таблиця виправлених пакетів), Rocky, Remi, Amazon Linux 2023 / Beanstalk / Lightsail, Alpine, Docker

- cPanel EA4, CloudLinux ea-php/alt-php, Plesk (зокрема прийом із датою збірки для EOL-збірок), DirectAdmin, aaPanel, CloudPanel

- LiteSpeed, FrankenPHP/Octane, Windows/IIS

- Плюс таблиця перезапусків (чому apache graceful недостатньо).

- Тимчасові заходи захисту, процитовані з php.net/GHSA та позначені як PARTIAL:

- готові файли для php.ini, пулу FPM, Apache, nginx (блокування, білий список, лише читання), Caddy/FrankenPHP і lighttpd

- правило AWS WAF (JSON дослівно) і нотатки щодо Cloudflare

- правило ModSecurity (виведене й перевірене в лабораторії) та правило IIS (виведене, неперевірене)

- список заходів, які НЕ допомогли

- Чек-лист перевірки після встановлення патча, підказки з виявлення (grep по логах, аудит процесів) і перші кроки під час інциденту

- План міграції для PHP 8.1 і старших (та 8.2, EOL 31 грудня 2026), зокрема з mod_php на PHP-FPM

- Таблиця відкату, список джерел і короткі інструкції швидкого старту мовами ES/PT/ID/JA

ПРОТЕСТОВАНО

- На Debian 13: аудит виявив вразливу 8.4.24, виправлену 8.4.27 і застарілі процеси до перезапуску.

- 41 модульний тест, shellcheck без зауважень.

- Фрагменти для nginx, Apache, ModSecurity і FPM перевірено в лабораторії нешкідливими запитами (результати в tests/LAB-RESULTS.md).

ПРИМІТКИ

- Жодного коду експлойтів, PoC чи мережевого сканера. Скрипти читають лише ту машину, на якій запущені. Використовуйте їх тільки в системах, якими ви володієте або які адмініструєте.

- Статус станом на 21 жовтня 2026 року. Статус пакетів у вендорів швидко змінюється, а невизначені моменти позначено [UNCERTAIN].

- Тимчасові заходи часткові. Повне виправлення - лише виправлена збірка PHP плюс перезапуск.

- Незалежний набір, не повʼязаний із проєктом PHP, The PHP Foundation, CISA чи будь-яким згаданим вендором. Має інформаційний характер, надається «як є», використовуйте на власний ризик.